Beim jüngsten Patch Day am 12. November hat Microsoft etliche Sicherheits-Updates bereitgestellt, um 89 Schwachstellen zu beseitigen. Microsoft stuft vier dieser Sicherheitslücken als kritisch ein und weist die übrigen Lücken bis auf eine als hohes Risiko aus. Zwei Schwachstellen in Windows werden laut Microsoft bereits für Angriffe ausgenutzt, insgesamt sind es bis zu sechs 0-Day-Lücken. Mit der hohen Zahl bisher gestopfter Sicherheitslücken ist 2024 bereits ohne die Dezember-Updates das Jahr mit den zweitmeisten Schwachstellen.
Spärliche Details zu den Schwachstellen bietet Microsoft zum Selbstsuchen im das Thema Update-Dienstag auf – stets auch mit Blick auf Admins, die Unternehmensnetzwerke betreuen. Dustin Childs ist es auch, der anders als Microsoft mit sechs 0-Days rechnet – in Redmond räumt man bislang nur deren vier ein. So weist Microsoft die Schwachstelle CVE-2024-5535 in OpenSSL nicht als vorab bekannt aus, obwohl sie laut Childs seit Juni bekannt ist.
Die wichtigsten Sicherheitslücken beim Patch Day im November 2024:
| CVE | anfällige Software | Schweregrad | Auswirkung | ausgenutzt | vorab bekannt |
|---|---|---|---|---|---|
| CVE-2024-43451 | Windows MSHTML | hoch | Spoofing | ja | ja |
| CVE-2024-49039 | Windows Aufgabenplanung | hoch | EoP | ja | nein |
| CVE-2024-43498 | .NET und Visual Studio | kritisch | RCE | nein | ja |
| CVE-2024-43639 | Windows Kerberos | kritisch | RCE | nein | nein |
EoP: Elevation of Privilege, Rechteausweitung
Browser-Updates
Das neueste Sicherheits-Update für Microsofts Browser Edge ist Version 130.0.2849.80 vom 7. November, basierend auf Chromium 130.0.6723.117. Google hat allerdings am 12. November eine .
“ vor. Auch
Der Windows-Telefoniedienst weist sieben Schwachstellen auf, die Microsoft im November beseitigt. In sechs Fällen handelt es sich um RCE-Lücken mit dem CVSS-Score 8.8, die letzte Schwachstelle ist eine EoP-Lücke (Elevation of Privilege), die einem Angreifer höhere Rechte verschaffen könnte
Löchriger SQL Server
Allein auf Microsofts SQL Server entfällt im November mehr als ein Drittel der gestopften Sicherheitslücken. Es handelt sich um 31 als hohes Risiko eingestufte RCE-Lücken. Meist wäre es für eine Attacke erforderlich, ein anfälliges System mit einer präparierten Datenbank zu verbinden, was wohl selten passieren dürfte. Bei CVE-2024-49043 ist sorgfältiges Lesen des Sicherheitsberichts ratsam, denn hier ist auch ein Update des OLE DB-Treibers gefordert, ebenso könnten Updates von Drittanbietern nötig sein.
Office-Lücken
In seinen Office-Produkten hat Microsoft acht Schwachstellen beseitigt. Darunter sind sieben RCE-Lücken. Fünf davon stecken in Excel. Bei der achten Office-Lücke handelt es sich um Eine SFB-Lücke (Security Feature Bypass), die Word betrifft. Mit einem speziell präparierten Word-Dokument kann die geschützte Office-Ansicht ausgehebelt werden.
Auch im November gibt es wieder ein neues Windows-Tool zum Entfernen bösartiger Software. Der nächste turnusmäßige Update-Dienstag ist am 10. Dezember 2024.
SOCIAL SHARE CARD GENERATOR