November-Patchday: Microsoft schließt Zero-Day-Lücke in Windows

Microsoft hat im Rahmen des November-Patchdays die Zero-Day-Lücke in Windows geschlossen, die Google Anfang des Monats öffentlich gemacht hatte. Sie wird bereits aktiv von Hackern ausgenutzt – offenbar zusammen mit weiteren Zero-Day-Lücken in Chrome und iOS. Insgesamt beseitigt Microsoft diesen Monat 112 Anfälligkeiten.

Die Zero-Day-Lücke steckt einer Sicherheitsmeldung zufolge im Windows-Kernel und erlaubt eine nicht autorisierte Ausweitung von Benutzerrechten. Bisher ist lediglich bekannt, dass sie benutzt wurde, um einer Schwachstelle im Browser Chrome das Ausführen von Schadcode außerhalb der Sandbox zu ermöglichen. Die Verknüpfung beider Bugs scheint es Cyberkriminellen also zu erlauben, Schadcode unter Windows auszuführen.

Eine Interaktion mit einem Nutzer ist laut Microsoft nicht erforderlich. Zudem schätzt das Unternehmen die Komplexität eines solchen Angriffs als gering ein. Betroffen sind alle Versionen von Windows 10 ab Version 1607, Windows 7, Windows 8.1 sowie Windows Server 2008 und neuer.

Die weiteren 111 Fixes stehen für Microsoft Office, die Office Services und Office Web Apps, Internet Explorer, Edge Legacy und Edge Chromium, Exchange Server, Windows Defender, Dynamics und Visual Studio zur Verfügung. Außerdem sollten Nutzer von Azure Sphere, Azure SDK, Azure DevOps und Microsoft Teams die verfügbaren Patches möglichst zeitnah einspielen.

Insgesamt 24 Anfälligkeiten des November-Patchdays erlauben das Einschleusen und Ausführen von Schadcode aus der Ferne – 17 werden als kritisch eingestuft. Microsoft-Anwendungen sind aber auch anfällig für Spoofing, Cross-Site-Scripting, Denial-of-Service sowie eine nicht autorisierte Ausweitung von Benutzerrechten. Unter Umständen erhalten Hacker auch Zugang zu vertraulichen Informationen.

Trend Micro stuft unter anderem mehrere Löcher im Network File System (NFS) als besonders schwerwiegend ein. Darunter ist eine kritische Lücke, die sich für eine Remotecodeausführung benutzen lässt. Die macht Microsofts Server-Betriebssysteme sowie Windows 7, 8.1 und 10 angreifbar.

Die Updates sind wie immer über die Updatefunktion von Windows verfügbar. Manuell lassen sie sich auch über den Windows Update Catalog herunterladen.