Hoax-Info Service | Weblog | Archiv

12.05.2020PermaLink
Vier kritische Lücken in Sharepoint gestopft

Patch Day mit Sicherheits-Updates gegen 111 Schwachstellen

Bei seinem heutigen Update-Dienstag für den Monat Mai hat Microsoft Sicherheits-Updates bereitgestellt, die 111 Sicherheitslücken schließen sollen. Keine dieser Schwachstellen war vorab öffentlich bekannt oder wird nach derzeitigem Stand für Angriffe genutzt. Als kritisch stuft Microsoft 16 Lücken ein – sie betreffen Windows, die Browser Edge und Internet Explorer (IE), Office (Sharepoint) sowie Visual Studio Code. Die übrigen 95 Schwachstellen gelten als hohes Risiko (wichtig/important). Im IE hat Microsoft sieben Lücken gestopft, drei sind als kritisch eingestuft. Sein Nachfolger Edge (EdgeHTML), dessen Entwicklung Microsoft zugunsten des neuen Edge (Chromium-basiert) bereits wieder eingestellt hat, weist fünf geschlossene Lücken auf, von denen drei als kritisch gelten. In seinen Office-Produkten beseitigt Microsoft insgesamt 13 Schwachstellen. Alle vier kritischen Lücken betreffen Sharepoint. Eine Excel-Lücke (CVE-2020-0901) eignet sich, um mit Hilfe präparierter Office-Dokumente beliebigen Code einzuschleusen und mit Benutzerrechten auszuführen.
Mit CVE-2020-1135 beseitigt Microsoft eine Sicherheitslücke in der Grafikkomponente von Windows 10 und den zugehörigen Server-Editionen, die es einem Angreifer ermöglicht, sich höhere Berechtigungen zu verschaffen. Das ist in diesem Fall nicht nur graue Theorie, wie Richard Zhu und Amat Cama beim →Hackerwettbewerb Pwn2Own im März vorgeführt haben. Dennoch stuft Microsoft diese Lücke nicht als kritisch ein. Eine andere Schwachstelle (CVE-2020-1153) in der gleichen Komponente aller Windows-Versionen ist jedoch als kritisch eingestuft. Drei weitere kritische Lücken betreffen die Media Foundation in Windows 10 und Server, eine davon (CVE-2020-1136) auch alle anderen Windows-Versionen. Auch im Farbverwaltungsmodul von Windows 10 und Server steckt eine kritische Schwachstelle. Ebenfalls als kritisch sieht Microsoft eine Lücke in Visual Studio Code mit installierter Python-Erweiterung an. Der nächste Update-Dienstag ist für den 9. Juni geplant.

Microsoft Security Update Guide / | ZDI Blog
→Microsoft Download- und Info-Links | →neueste Sicherheits-Updates