Mai-Patchday: Microsoft schließt 111 Sicherheitslücken

Microsoft hat zahlreiche Sicherheitsupdates für seine Produkte veröffentlicht, die insgesamt 111 Schwachstellen beseitigen sollen. Der Mai-Patchday ist damit der drittumfangreichste Patchday in der Geschichte des Unternehmens. Betroffen sind neben Windows und den Browsern Edge und Internet Explorer auch Office, Windows Defender, Visual Studio und .NET Framework.

Trotz der hohen Zahl gestopfter Löcher meldet Microsoft im Mai keine aktiv ausgenutzten Zero-Day-Lücken. Trotzdem sollten die Updates zeitnah installiert werden, da sie einige sehr schwerwiegende Anfälligkeiten korrigieren.

Darunter sind drei Bugs in SharePoint Server, die das Einschleusen und Ausführen von Schadcode ermöglichen. Sie treten auf, weil die Software unter Umständen das Quellmarkup eines Anwendungspakets nicht prüft. Ein Angreifer muss einen Benutzer also dazu verleiten, ein speziell gestaltetes Anwendungspaket hochzuladen, um Code „im Kontext des SharePoint-Anwendungspools und des SharePoint-Serverfarmkontos auszuführen“, heißt es in einem Advisory.

Eine weitere Anfälligkeit betrifft Windows 7, 8.1, RT 8.1, 10, Server 2008, 2008 R2, 2012, 2012 R2, 2016, 2019, Version 1803, 1903 und 1909. Sie ist besonders kritisch, weil hier ein Speicherfehler das Ausführen von Code mit erweiterten Berechtigungen erlaubt. Angreifer, die eine Lücke in der MSHTML-Engine von Internet Explorer ins Visier nehmen, können Schadcode indes nur im Kontext des angemeldeten Benutzers ausführen. Das gilt auch für eine Anfälligkeit im Edge PDF Reader – sie ist allerdings auf die alte Version des Browsers beschränkt, die noch nicht auf Chromium als Unterbau setzt.

Weitere Patches stehen für .NET Core, Active Directory, Microsoft Dynamics, die Microsoft Graphics Component, die JET Database Engine und die Scripting Engine zur Verfügung. Anfällig sind aber auch diverse weitere Windows-Komponenten wie Kernel und Printer Service, Hyper-V, das Subsystem for Linux und der Windows Update Stack. Die Anfälligkeiten ermöglichen neben einer Remotecodeausführung auch eine nicht autorisierte Ausweitung von Benutzerrechten , Denial of Service, Spoofing und den Diebstahl vertraulicher Informationen.

Microsoft verteilt die Patches wie immer automatisch über die Updatefunktion für Windows. Downloadlinks finden sich aber auch im Microsoft Sicherheits-Portal.