Patchday: Angreifer attackieren unter anderem Microsoft Word
Microsoft hat für Windows & Co. wichtige Sicherheitsupdates veröffentlicht. Zwei Lücken nutzen Angreifer bereits aus.
(Bild: heise online)
Nutzer von Microsoft-Software sollten sicherstellen, dass die Anwendungen auf dem aktuellen Stand sind. Andernfalls können Angreifer Systeme attackieren und im schlimmsten Fall Schadcode ausführen.
Laufende Attacken
Eine Schwachstelle in Word (CVE-2023-36761 "mittel") nutzen Angreifer bereits aus. Davon sind einer Warnmeldung von Microsoft zufolge unter anderem Word 2013 und Microsoft 365 Apps for Enterprise bedroht. Wie eine Attacke im Details aussieht, geht aus dem Beitrag nicht hervor. Da Attacken bereits im Vorschaufenster eingeleitet werden können, ist davon auszugehen, dass Angreifer Opfern ein manipuliertes Dokument unterschieben müssen.
Ist eine Attacke erfolgreich, sollen Angreifer Zugriff auf NTLM-Hashes haben. In diesem kryptografischen Format speichert Windows Passwörter. Damit ausgestattet sind Pass-the-Hash-Attacken vorstellbar, über die sich Angreifer höhere Nutzerrechte verschaffen können. In welchem Umfang die Attacken ablaufen, ist derzeit nicht bekannt.
Die zweite zurzeit ausgenutzte Schwachstelle (CVE-2023-36802 "hoch") betrifft Microsoft Streaming-Dienst-Proxy. In einer Warnmeldung findet man die betroffenen Windows-Versionen. Über die Schwachstelle sollen sich Angreifer System-Rechte verschaffen können. Wie so ein Angriff abläuft, ist derzeit nicht bekannt.
Noch mehr Lücken
Als "kritisch" stuft Microsoft Schwachstellen in Azure Kubernetes Service, Internet Connecting Sharing (ICS) und Visual Studio ein. Klappen Attacken, soll es unter anderem zur Ausführung von Schadcode kommen. Dafür müssen Angreifer Opfer aber dazu bringen, eine präparierte Visual-Studio-Paketdatei zu öffnen (unter anderem CVE-2023-36792). Im Fall von Azure Kubernetes Service können Angreifer Admin-Rechte für Cluster erlangen (CVE-2023-29332).
Weitere Schwachstellen betreffen unter anderem Exchange Server, SharePoint Server und diverse Windows-Komponenten. Details zu allen an diesem Patchday geschlossenen Lücken findet man im Security Update Guide von Microsoft
(des)
