Microsoft hat im Januar 38 Sicherheitslücken gestopft

Neue Software, Treiber oder BIOS-Versionen findet ihr hier
[ News about software, drivers and bios can be found here ]
Antworten
Benutzeravatar
doelf
Moderator
Moderator
Beiträge: 34917
Registriert: 12 Feb 2004, 23:29
Wohnort: Alsdorf
Kontaktdaten:

Microsoft hat im Januar 38 Sicherheitslücken gestopft

Beitrag von doelf » 09 Jan 2019, 12:57

Microsoft hat am gestrigen Januar-Patch-Day 38 Sicherheitslücken in Windows, Edge nebst ChakraCore, dem Internet Explorer, Office (inklusive der Office Services und Web Apps), dem .NET-Framework, dem Exchange Server, Visual Studio und ASP.NET geschlossen. Auch Adobes Flash Player wurde wieder einmal aktualisiert. Sieben der behobenen Fehler stellen eine kritische Gefahr dar, weitere vierzig wurden als hochgefährlich klassifiziert und einer ist von mittlerer Schwere.

Wer heutzutage erfahren will, welche Sicherheitslücken Microsoft geschlossen hat, muss bei Talos, den Sicherheitsspezialisten von Cisco Systems vorbeischauen. Microsofts eigener Security Update Guide liefert nämlich auch weiterhin eine völlig unübersichtliche Auflistung und taugt nur zur gezielten Suche nach Informationen über spezielle Updates oder Produkte. Es ist nicht einmal möglich, jene Sicherheitslücken, welche bereits aktiv angegriffen werden, herauszufiltern.

Drei bis vier kritische Speichermanipulationen in Edge
Drei kritische Speicherfehler (CVE-2019-0539, CVE-2019-0567 und CVE-2019-0568) mussten in der Chakra Scripting Engine repariert werden, sie bedrohen den Webbrowser Edge sowie die quell-offene Scripting-Engine ChakraCore. Kurioserweise zeigt Microsoft zu CVE-2019-0567 keine Details wie die Art des Fehlers, den Schweregrad oder die Wahrscheinlichkeit baldiger Angriffe an, obwohl dem Beschreibungstext zu entnehmen ist, dass es sich um eine kritische Lücke handelt, über die Angreifer beim Aufruf speziell präparierter Webseiten Schadcode einschleusen können. Dies gilt auch für CVE-2019-0565, einen weiteren Speicherfehler in Edge selbst. Mit Ausnahme von CVE-2019-0567 wurden diese Schwachstellen als wahrscheinliche Angriffsziele eingestuft.

Hyper-V und DHCP
Zwei unzureichende Prüfungen von Benutzereingaben im Gastsystem bedrohen Hyper-V-Host-Server (CVE-2019-0550 und CVE-2019-0551). Mit Hilfe speziell gestalteter Aufrufe können Nutzer des Gastsystems den Host dazu bringen, beliebigen Code auszuführen und diesen damit unter ihre Kontrolle bringen. Microsoft bewertet die Fehler als kritisch, hält Angriffe aber für weniger wahrscheinlich. Keine Angaben zu Bedrohung, Schweregrad und Angriffswahrscheinlichkeit macht Microsoft zu einem Fehler im DHCP-Klienten (CVE-2019-0547). Laut Text handelt es sich um eine Attacke mit Hilfe manipulierter DHCP-Antworten, welcher das Client-System dazu bringt, beliebigen Code des Angreifers auszuführen. Auch dieser Bug soll laut Talos kritisch sein.

Verwirrung um Flash
Hinsichtlich Adobes Flash Player schreibt Talos "This release also includes a critical security advisory for multiple bugs in Adobe Flash Player", doch diese Aussage ist falsch. Microsoft spricht ausdrücklich von einem "non-security Adobe Flash update" und Adobe beschreibt die aktualisierten Versionen wie folgt: "These updates address feature and performance bugs, and do not include security fixes". Es wurden somit Fehler und Leistungsdefizite behoben, aber keine neuen Sicherheitslücken geschlossen.

Quelle:
https://portal.msrc.microsoft.com/en-us ... 0d3a33c573
. Tails . Linux . USB . CD . Secure Desktop . IRC . Truecrypt . Tor .

Antworten