Beim Update-Dienstag im Mrz hat Microsoft insgesamt 115 Sicherheitslcken beseitigt. Darunter sind 26 Lcken, die Microsoft als kritisch einstuft.

Unter den von Microsoft am 10. Mrz geschlossenen 115 Sicherheitslcken sind 26 Schwachstellen, die Microsoft als kritisch einstuft. Diese betreffen Windows, den Internet Explorer, Edge (Edge-HTML), Office und Dynamics Business Central. Die brigen Lcken stuft Microsoft bis auf eine als hohes Risiko ein.

Internet Explorer (IE)

Das neue kumulative Sicherheits-Update (4540671) fr den Internet Explorer 10 bis 11 beseitigt sechs Schwachstellen in dem Uralt-Browser. Microsoft stuft alle Lcken als kritisch ein. Zwei der Schwachstellen betreffen auch Edge (Edge-HTML).

Edge

In der alten Generation des Edge-Browsers (Edge-HTML) hat Microsoft im Mrz 14 Sicherheitslcken beseitigt. Alle dieser Lcken bis auf eine stuft Microsoft als kritisch ein. Die neue Generation Edge (Chromium-basiert) erhlt Sicherheits-Updates auerhalb des Update-Dienstags ber die im Browser integrierte Aktualisierungsfunktion.

Office
Fr seine Office-Familie liefert Microsoft in diesem Monat Updates gegen neun Sicherheitslcken aus. Microsoft stuft eine Word-Schwachstelle (CVE-2020-0852) als kritisch ein. Sie ermglicht es, mittels prparierter Office-Dokumente Code, namentlich Malware, einzuschleusen und diesen mit Benutzerrechten auszufhren. Dazu gengt es, wenn ein an eine Mail angehngtes Word-Dokument in der Outlook-Vorschau angezeigt wird.

Windows

Der berwiegende Teil der Schwachstellen, 78 Lcken, verteilt sich ber die verschiedenen Windows-Versionen (8.1 und neuer), fr die Microsoft noch Sicherheits-Updates anbietet. Windows 7 wird zwar in den Sicherheitsberichten noch erwhnt, Updates erhalten jedoch nur noch am kostenpflichtigen ESU-Programm teilnehmende Organisationen. Microsoft stuft sieben dieser Windows-Lcken als kritisch ein.

Auch in diesem Monat gibt es wieder eine neu entdeckte LNK-Lcke (CVE-2020-0684), die alle Windows-Versionen betrifft. Ihre CVE-Nummer ist niedriger als die der im Vormonat gestopften LNK-Lcke. Sie drfte Microsoft also schon lnger bekannt sein als diese. Auch zwei Lcken in GDI+ (CVE-2020-0881 und CVE-2020-0883) stecken in allen Windows-Versionen. Gleich vier kritische Schwachstellen hat Microsoft in der Windows Media Foundation gestopft. Diese betreffen nur neuere Windows-Versionen, also Windows 10 und Server 2016 bis 2019.

Exchange Server

In Exchange Server 2016 und 2019 hat Microsoft mit CVE-2020-0903 eine XSS-Lcke geschlossen (Cross-Site-Scripting). Ein Angreifer knnte die Identitt eines Opfers annehmen und ausnutzen, um Daten zu lesen, die ihm nicht zugnglich sein sollten. Er knnte in dessen Namen verschiedene Operationen auf dem Exchange Server ausfhren, etwa Berechtigungen ndern oder Inhalte lschen. Die im Februar geschlossene Schwachstelle CVE-2020-0688 in Exchange Server 2010 bis 2019 wird inzwischen fr Angriffe ausgenutzt.

Dynamics Business Central
In der Unternehmens-Software Dynamics NAV 2013 bis 2018 sowie Dynamics 365 hat Microsoft eine kritische Schwachstelle (CVE-2020-0905) behoben, die in Dynamics Business Central steckt. Ein Angreifer mit gltiger Benutzeranmeldung msste einen anderen Benutzer dazu bringen, sich mit einem manipulierten Dynamics Business Central Client zu verbinden. Er knnte dann beliebige Shell-Befehle auf dem Rechner seines Opfers ausfhren.

Application Inspector
Der quelloffene Application Inspector knnte dazu missbraucht werden, um Code einzuschleusen und auszufhren. Dazu msste der Angreifer sein Opfer dazu bringen, die Software auf Code loszulassen, der eine speziell prparierte Fremdkomponente enthlt. Offenbar hat Microsoft den Fehler bereits im Januar mit Version 1.0.24 behoben und erst jetzt verffentlicht.

SMBv3 mit Wurmloch

Das Server Message Block 3.1.1 (SMBv3) Protokoll in Windows 10 und Windows Server ist anfllig fr Attacken mit prparierten Paketen. Im Erfolgsfall knnte ein Angreifer eingeschleusten Code ausfhren. Die bislang inoffiziell als CVE-2020-0796 bekannte Sicherheitslcke soll wurmtauglich sein. Microsoft hat bisher noch kein Update bereitgestellt, um die Schwachstelle zu beseitigen.

In der gestern Abend verffentlichten Sicherheitsempfehlung ADV200005 rt Microsoft dazu, die SMBv3-Komprimierung zu deaktivieren und zeigt auch, wie das mittels PowerShell geht. Dies schtzt jedoch nur vor Angriffen auf SMB-Server SMB-Clients bleiben verwundbar. Hier kann es helfen, den TCP-Port 445 fr Zugriffe zu sperren. Wann Microsoft die Lcke schlieen will, ist bis dato nicht bekannt.

Fr die beim Update-Dienstag im Mrz geschlossenen Sicherheitslcken sind laut Microsoft bislang keine Angriffe bekannt, bei denen eine der Lcken ausgenutzt wrde.

Flash Player
Adobe hat am 10. Mrz keine Sicherheits-Updates verffentlicht.

Schlielich gibt es, wie in fast jedem Monat, auch im Mrz wieder das Windows-Tool zum Entfernen bsartiger Software in einer neuen Version.

Der nchste turnusmige Patch Day findet am 14. April 2020 statt.
Quelle und Informationen : https://www.pcwelt.de/news/Microsoft...-10769577.html