August-Patchday: Microsoft schließt 93 Sicherheitslücken

Mit dem August-Patchday hat Microsoft 93 Sicherheitslücken gepatcht und zwei Hinweise zur Abwehr von zwei sicherheitsrelevanten Problemen veröffentlicht. Im Gegensatz zu den Vormonaten wurde keine der heute gepatchten Schwachstellen bislang für Angriffe ausgenutzt. Die „Stars“ des August-Patchday sind die vier Remote-Code-Ausführungsprobleme, die Microsoft in den Windows Remote Desktop Services (RDS) behoben hat: CVE-2019-1181, CVE-2019-1182, CVE-2019-1222 und CVE-2019-1226.

Von den vier sind die ersten beiden die größten Bedrohungen. In einem Blogbeitrag sagte Simon Pope, Director of Incident Response for the Microsoft Security Response Center (MSRC), dass die beiden Bugs „wormable“ seien, ähnlich dem bekannten BlueKeep (CVE-2019-0708) Bug, den Microsoft im Mai in RDS gepatcht hatte. Das bedeutet, dass Angreifer die Fehler ausnutzen können, um einen Computer zu übernehmen und sich dann ohne jegliche Benutzerinteraktion auf andere Computer ausbreiten. Das Patchen von CVE-2019-1181 und CVE-2019-1182 ist von höchster Dringlichkeit. Das zeigt auch die Ausbreitung von WannaCry. Auch dafür hatte Microsoft Patches veröffentlicht, die allerdings von vielen Nutzern nicht eingespielt wurden, sodass WannaCry in der Folge zu einer der größten globalen IT-Bedrohung mutierte.

Aber die vier Fehler bei der Remotecodeausführung (RCE) in der RDS-Komponente sind nicht die einzigen RCEs, die diesen Monat gepatcht wurden. Es gibt auch sieben RCEs, die sich auf die Chakra-Skript-Engine auswirken (in Microsoft Edge und anderen Microsoft-Anwendungen enthalten), zwei RCEs in der Microsoft Hyper-V-Hypervisor-Technologie für virtuelle Maschinen, sechs RCEs in der Microsoft-Grafik-Komponente, eine in Outlook, zwei in Word, zwei im Windows DHCP-Client, zwei in der älteren Scripting-Engine-Komponente und eine in der VBScript-Engine. Und es gibt auch einen Patch für einen Fehler im schattigen CTF-Protokoll, der alle Windows-Versionen seit Windows XP betrifft.

Alles in allem ist der August-Patchday sowohl umfangreich als auch kritisch. Von den 93 Schwachstellen, die Microsoft heute gepatcht hat, werden 29 als kritisch und 64 als wichtig im Schweregrad eingestuft. Darüber hinaus erinnert Microsoft nochmals, dass Windows 7 und Windows Server 2008 R2 ab dem 14. Januar 2020 keinen erweiterten Support und keine Updates mehr erhalten. „Wir empfehlen Ihnen dringend, alle Computer mit Windows 7 oder Windows Server 2008 R2 zu aktualisieren, damit Sie weiterhin Sicherheitsupdates erhalten“, teilt das Unternehmen mit.

Andere Sicherheitsupdates außerhalb von Microsoft

Die monatliche Veröffentlichung von Patches für Windows-Schwachstellen nutzen auch andere Firmen wie Adobe, SAP und VMWare, um Schwachstellen in ihren Produkten zu schließen. Von den drei Sicherheitsupdates von Adobe sind die größten mit Korrekturen für Photoshop, Experience Manager, Acrobat/Reader, die Creative Cloud Desktop-Applikation, Prelude, Premiere Pro, Character Animator und After Effects. Flash-Sicherheitsupdates gibt es diesen Monat hingegen nicht.

Hier die Liste aller 93 Schwachstellen und der zwei Sicherheitshinweise. Mehr Details dazu finden sich auf der Microsoft-Seite.