Das Patch Tuesday-Update für November von Microsoft ist vergleichsweise zahm ausgefallen. Insgesamt wurden gerade einmal 47 einzigartige Schwachstellen in 11 Updates behoben. Zwei davon wurden öffentlich bekanntgegeben. Dies wird immer dann nötig, wenn klar ist, dass einem potenziellen Angreifer genügend Informationen öffentlich zur Verfügung stehen, um einen Exploit zu entwickeln oder zumindest den Startschuss dazu zu geben.
Risikoindikatoren, die einer gewissen Aufmerksamkeit bedürfen
Den Auftakt bilden CVE-2017-11827 und CVE-2017-11848, die sich auf die Microsoft-Browser auswirken. CVE-2017-11827 betrifft sowohl IE als auch Edge. Diese Sicherheitslücke kann in einer Phishing-E-Mail oder mittels einer kompromittierten Website ausgenutzt werden. Ein Benutzer mag dazu verleitet werden, einen bösartigen Anhang oder Inhalt zu öffnen. Geschieht dies, würde der Angreifer die gleichen Rechte erhalten, die auch dem aktuellen Benutzer zur Verfügung stehen. Im Fall, dass der Benutzer ein Volladministrator ist, könnte der Angreifer die vollständige Kontrolle über das betroffene System erlangen.
Die zweite Schwachstelle (CVE-2017-11848) ist eine Lücke in der Informationsweitergabe des Internet Explorers. Sie ermöglicht es einem Angreifer, die Internet-Navigation eines Benutzers nachzuverfolgen, der eine bösartig gestaltete Seite verlässt.
Kritische Sicherheitslücken im Microsoft OS
Im November wurden viele kritische Sicherheitslücken gemeldet, die das Windows-Betriebssystem betreffen. Darunter sind alleine vier so genannten „Kernel Information Disclosure“-Schwachstellen sowie eine „Kernel Elevation of Privilege“-Sicherheitslücke. Dazu kommen noch einige weitere kritischen Schwachstellen, die die Serverplattformen betreffen. Die gute Nachricht: Diese Sicherheitslücken alleine für sich genommen können nicht aus der Ferne ausgenutzt werden. Die schlechte Nachricht: In ihrer Kombination liefern sie einem Angreifer ausreichend Möglichkeiten, um einen Server zu gefährden. In der Situation eines „Persistent Threats“, also einer fortgeschrittenen, hartnäckigen Bedrohung könnte ein Angreifer eine benutzerbezogene Schwachstelle ausnutzen, um so dann den Einstieg in andere Systeme wie beispielsweise einen Server zu bekommen. Dort wäre er in der Lage, sich der Kernel-Schwachstellen zu bedienen, um das System in seine Kontrolle zu bringen. Microsoft hat also in diesem Monat potenzielle Angriffsflächen in einem Chaos von Sicherheitslücken behoben. Sie sollten daher auch nicht zu lange ungepatcht bleiben.
Produkt-Zombies von Microsoft und Adobe
Wie wäre es noch mit etwas Zombie-Action, die von Halloween übriggeblieben ist? Sowohl Microsoft als auch Adobe haben Produkte, die bereits ihren End-of-Support hatten, wieder zum Leben erweckt! Windows 10 1511 belebt für die nächsten sechs Monate die Enterprise- und Education-Editionen wieder. Das neue Enddatum für diese Editionen ist jetzt der 10. April 2018. Dies gilt nicht für Home- und Pro-Benutzer. Administratoren sollten trotzdem auf einen späteren Zweig aktualisieren – und zwar schnellstmöglich.
Adobe hatte am 15. Oktober letzten Monats angekündigt, dass Acrobat XI und Reader XI nicht mehr unterstützt werden. Prompt wurde natürlich im November ein Update veröffentlicht! Adobe hat diesen Monat insgesamt neun Produkte aktualisiert und zahlreiche kritische Sicherheitslücken behoben. Zu beachten ist dabei, dass viele dieser Updates als Priorität 2 eingestuft werden können. Das bedeutet, dass sie zwar kritische Sicherheitslücken aufweisen, die allerdings zum aktuellen Zeitpunkt nicht aktiv ausgenutzt oder veröffentlicht wurden. Ivanti empfiehlt, dass Priorität-2-Updates von Adobe so schnell wie möglich gepatcht werden. Das gilt insbesondere für den Flash Player.
Browser Patches stehen an
Auch müssen alle wichtigen Browser in diesem Monat aktualisiert werden. Zu IE, Edge, Mozilla Firefox und Google Chrome wurden Updates zu vielen kritischen Sicherheitslücken veröffentlicht. Sie alle sollten auf der Prioritätenliste der Administratoren ganz weit oben stehen. In diesem Monat hat Adobe zudem neun Security Bulletins veröffentlicht. Besonders hervorzuheben sind dabei die Updates für den Flash Player, für Acrobat und den Reader sowie für Shockwave. Alle diese Produkte haben mit kritischen Sicherheitslücken zu kämpfen.
Weitere Informationen zu dieser Analyse finden sich auf der Patch Tuesday Webseite von Ivanti. Am Mittwoch, 15. November 2017 findet daneben wieder das monatliche Patch Tuesday Webinar von Ivanti statt. Es beginnt um 17.00 Uhr.