Microsoft patcht 64 Sicherheitslücken

Microsoft hat am Dienstag zum traditionellen Patch Tuesday 64 Sicherheitslücken bekannt gegeben, darunter fünf kritische und eine, die bereits ausgenutzt wurde.  Die veröffentlichten Patches adressieren häufige Schwachstellen und Gefährdungen (CVEs) in Microsoft Windows und Windows-Komponenten, Azure und Azure Arc, .NET und Visual Studio und .NET Framework, Microsoft Edge (Chromium-basiert), Office und Office-Komponenten, Windows Defender und Linux Kernel. Hinzu kommen 15 Patches für CVEs in Microsoft Edge (Chromium-basiert) und ein Patch für Arm-Prozessoren.

Die eine ausgenutzte CVE, die am Patch Tuesday veröffentlicht wurde, betrifft den Windows Common Log File System Driver. Um sie auszunutzen, muss der Angreifer bereits Zugriff auf das System haben und in der Lage sein, Code auf dem System auszuführen. Er ermöglicht es dem Angreifer, neue Privilegien zu erlangen und damit einen Angriff auszuführen.

Microsoft würdigte Forscher von DBAPPSecurity, Mandiant, CrowdStrike und Zscaler für die Identifizierung dieser Schwachstelle.

Bei den fünf kritischen CVEs, die am Dienstag bekannt gegeben wurden, handelt es sich allesamt um Schwachstellen bei der Remote-Code-Ausführung (RCE). Zwei davon betreffen die Vor-Ort-Versionen von Microsoft Dynamics 365. Diese CVEs ermöglichen es einem authentifizierten Benutzer, ein speziell erstelltes vertrauenswürdiges Lösungspaket auszuführen, um beliebige SQL-Befehle auszuführen. Von dort aus könnte der Angreifer eskalieren und Befehle als db_owner innerhalb seiner Dynamics 365-Datenbank ausführen.

Zwei weitere kritische CVEs betreffen die Windows Internet Key Exchange (IKE)-Protokoll-Erweiterungen, die es einem nicht authentifizierten Angreifer ermöglichen, ein speziell gestaltetes IP-Paket an einen Zielcomputer zu senden. Das letzte kritische CVE betrifft Windows TCP/IP und ermöglicht es einem nicht authentifizierten Angreifer, ein speziell präpariertes IPv6-Paket an einen Windows-Knoten zu senden, auf dem IPSec aktiviert ist.

ZDNet.de Redaktion

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

4 Stunden ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

4 Stunden ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

1 Tag ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

1 Tag ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

1 Tag ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

1 Tag ago