Hoax-Info Service | Weblog | Archiv

14.04.2020PermaLink
Microsoft schließt vier 0-Day-Lücken

Patch Day April mit Updates gegen 113 Schwachstellen [Update 15.04.2020]

Beim heutigen Update-Dienstag hat Microsoft Sicherheits-Updates bereitgestellt, die insgesamt 113 Schwachstellen beseitigen sollen. Darunter sind fünf vier Lücken, die bereits für Angriffe ausgenutzt werden und/oder schon vorab öffentlich bekannt waren. Microsoft stuft 19 Sicherheitslücken als kritisch ein, die übrigen als hohes Risiko (important/wichtig). Die bekanntermaßen bereits seit März ausgenutzte Schwachstelle CVE-2020-1020 in der Adobe Type Manager Bilbliothek (atmfd.dll) wird nun mit einem Update geschlossen. Die bekannten Angriffe gelten vor allem Systemen mit Windows 7. Doch nur wer am kostenpflichtigen ESU-Programm (Extended Security Update) teilnimmt, erhält Updates für Windows 7. Das alles gilt gleichermaßen auch für CVE-2020-0938.

Auch im Internet Explorer (IE) steckt mit CVE-2020-0968 eine kritsche Schwachstelle, die bereits für Angriffe genutzt wird. Hinzu kommen drei weitere IE-Lücken, von denen Microsoft eine (CVE-2020-0967) als kritisch einstuft. Im Kernel aller Windows-Versionen (7 bis 10 sowie Server 2008 bis 2019) schließt Microsoft eine Lücke (CVE-2020-1027), deren Ausnutzung einem Angreifer höhere Berechtigungen verschafft. Auch diese Lücke wird bereits bei Angriffen genutzt. Die OneDrive Desktop-App für Windows enthält ebenfalls eine Schwachstelle (CVE-2020-0935), die lokal angemeldeten Angreifern höhere Rechte verheißt. Sie war bereits vorab bekannt, Angriffe darauf gibt es jedoch laut Microsoft bislang nicht.

Seinen neuen Browser Edge (Chromium-basiert) hat Microsoft bereits am 13. April in einer neuen Hauptversion (81.0.416.53) bereitgestellt. Damit zieht Edge (Chromium-basiert) wieder mit Google Chrome gleich, was etliche beseitigte Sicherheitslücken einschließt. Der alte Edge (EdgeHTML-basiert) erhält Sicherheits-Updates via Windows Update. Das heutige Update behebt zwei Schwachstellen – beide gelten als kritisch.

In seinen Office-Produkten beseitigt Microsoft insgesamt 28 Sicherheitslücken, fünf sind als kritisch eingestuft und betreffen SharePoint. In Windows Media Foundation (Windows 10 und Server) schließt Microsft drei als kritisch eingestufte Lücken (CVE-2020-0948/49/50). Eine weitere kritische Lücke (CVE-2020-0965) betrifft die Codec-Bibliothek aller Windows-Versionen (Client und Server). Eine ebenfalls als kritisch eingestufte Schwachstelle in Hyper-V (CVE-2020-0910) ermöglicht es einem Programm im Gastsystem, aus der virtuellen Maschine auszubrechen und beliebigen Code auf dem Hostsystem auszuführen. Schließlich sei noch eine neue kritische Lücke in Dynamics Business Central (CVE-2020-1022) erwähnt.

Microsoft Security Update Guide / | ZDI Blog
→Microsoft Download- und Info-Links | →neueste Sicherheits-Updates

10.04.2020PermaLink
Sicherheits-Updates für Thunderbird und Tor Browser

Thunderbird 68.7 und Tor Browser 9.0.9 [Update 11.04.2020]

Mozilla hat sein Mail-Programm Thunderbird in der neuen Version 68.7.0 bereitgestellt.
[Update:] Darin haben die Entwickler mindestens fünf Sicherheitslücken geschlossen, die alle aus Firefox stammen. Darunter sind auch die beiden 0-Day-Lücken (CVE-2020-6819, CVE-2020-6820), die mit dem Update auf Firefox 74.0.1 beseitigt worden sind. Deshalb stuft Mozilla dieses Thunderbird-Update als kritisch ein. [/Update]
Außerdem gibt es Verbesserungen bei MailExtensions, Add-ons und im Kalender.

Tor Browser ist in der neuen Verion 9.0.9 verfügbar, die auf Firefox ESR 68.7 basiert. Durch das Update auf die neue Version werden in Tor Browser somit die gleichen Sicherheitslücken geschlossen wie in Firefox ESR. Außerdem ist die aktuelle Version 11.0.23 der Browser-Erweiterung NoScript enthalten. Ob das seit Tor Browser 9.0.6 auftretende Javascript-Problem inzwischen beseitigt ist, geht aus den Release Notes nicht hervor. Da die Beseitigung nicht erwähnt wird, besteht es wohl weiterhin. Die Programmbibliothek OpenSSL wird nun in Version 1.1.1f eingesetzt.

Thunderbird: Release Notes | Security Advisories
Tor Browser: Release Notes
→Download-Links für Web-Software | →neueste Sicherheits-Updates

05.04.2020PermaLink
Mozilla stopft 0-Day-Lücken in Firefox

Kritische Schwachstellen werden bereits für Angriffe genutzt

Mozilla hat Sicherheits-Updates auf Firefox 74.0.1 sowie Firefox ESR 68.6.1 bereitgestellt, um kritische Sicherheitslücken zu schließen. Zwei Schwachstellen (CVE-2020-6819, CVE-2020-6820) im Browser werden bereits für gezielte Angriffe im Web genutzt. Es handelt sich um so genannte Use-after-free-Lücken, die geeignet sind, um Code einzuschleusen und auszuführen. In den bereitgestellten neuen Browser-Versionen haben die Mozilla-Entwickler diese Schwachstellen beseitigt. Entsprechende Sicherheits-Updates für andere auf Firefox basierende Browser wie Cliqz, Tor Browser oder Seamonkey sind noch nicht verfügbar.
Update: Tor Browser ist in der neuen Version 9.0.8 verfügbar, die auf Firefox ESR 68.6.1 basiert.

Mozilla Security Advisories
→Download-Links für Web-Software | →neueste Sicherheits-Updates