Eingangstore für Ransomware-Angriffe schnell schließen 5 kritische Sicherheitslücken in Windows und Office patchen

Anbieter zum Thema

FTAPI Software GmbH

Mimecast Germany GmbH

Arctic Wolf Networks Germany GmbH

Am Patchday im Juli wurden sechs besonders gravierende Sicherheitslücken mit Updates geschlossen. Wir zeigen, wie Admins fünf davon schließen können. Die fünf Schwachstellen sind zum Teil öffentlich bekannt (CVE-2023-35311), es gibt bereits aktive Exploits dafür (CVE-2023-35311, CVE-2023-36874, CVE-2023-32046, CVE-2023-32049) oder das Update ist als kritisch eingestuft, mit einem CVSS von 9.8 (CVE-2023-32057).

Von den sechs zum Patchday im Juli gepatchten Schwachstellen haben wir zur CVE-2023-36884 bereits wichtige Sicherheitstipps veröffentlicht. In diesem Beitrag gehen wir auf die Sicherheitslücken CVE-2023-35311, CVE-2023-36874, CVE-2023-32046, CVE-2023-32049 und CVE-2023-32057 ein und zeigen, wie diese geschlossen werden.

CVE-2023-36884 ermöglicht Ransomware-Angriffe

Gravierende Sicherheitslücke in allen Windows- und Office-Versionen

Alle dieses Updates haben aber eines gemeinsam: Sie sollte so schnell wie möglich geschlossen werden, da sie Remotecode-Ausführung ermöglichen, Sicherheitsfilter umgehen oder andere Lücken eröffnen, die es Angreifern sehr einfach machen Ransomware oder andere Angreifer im Netzwerk zu implementieren. Der Lücke CVE-2023-36884 haben wir auf Grund der Schwere einen eigenen Beitrag gewidmet.

Bildergalerie

Bildergalerie mit 9 Bildern

Ransomware-Angriffe über Outlook bereits im Gange: CVE-2023-35311

Die meisten Ransomware-Angriffe erfolgen über Phishing, indem Anwender in E-Mails Links zu Phishing-Seiten anklicken, und Daten Preis geben, oder Daten aus dem PC ausgelesen werden. In vielen Fällen schützt Outlook Anwende, indem eine Warnung angezeigt wird. Nutzt ein Exploit diese Lücke aus, erscheint keine Warnung. In Kombination mit anderen Schwachstellen, zum Beispiel CVE-2023-36884 können Cyberkriminelle im Anschluss problemlos Ransomware oder andere Malware im Netzwerk installieren. Für beide Lücken gibt es aktuell bereits aktive Exploits. Darüber hinaus sind beide Lücken öffentlich bekannt. Wir haben in einem eigenen Beitrag behandelt, wie sich die Lücke CVE-2023-36884 schließen lässt.

Das Schließen der Lücke CVE-2023-35311 ist dabei eine weitere, sehr wichtige Aktion. Aus diesem Grund hat die Lücke auch einen CVSS von 8.8.

Die Lücke wird über die automatische Aktualisierung von Microsoft Office geschlossen, oder das Update muss manuell heruntergeladen und installiert werden. Am Beispiel von Microsoft Office 2021 LTSC ist die Aktualisierung daran zu sehen, dass auf der Registerkarte "Datei" bei "Office-Konto" über "Info zu Outlook" die Version 2306 und die Buildnummer 16529.20182 zu sehen ist. Diese umfasst auch das Update gegen diesen Angriff. Ist das nicht der Fall sollte über "Updateoptionen -> Jetzt aktualisieren" eine manuelle Aktualisierung durchgeführt werden. Wenn Outlook aktuell ist, ist das im Fenster zu sehen.

Video-Tipp #64: Windows Defender Application Control (WDAC)

Schutz vor Ransomware mit Windows-Bordmitteln

Nochmal Ransomware-Gefahr für alle Windows-Versionen: CVE-2023-36874

Die Lücke CVE-2023-36874 stellt ebenfalls ein Einfallstor für Ransomware dar. Dieses Mal sind alle Windows-Versionen betroffen, auch Windows 11 Version 22H2 und Windows Server 2022. Für diese Lücke gibt es ebenfalls bereits Exploits, die in Umlauf sind. Mit einem CVSS von 7.8 ist auch diese Lücke recht dringend. Angreifer können über die Lücke in Verbindung mit Phishing ihre Rechte auf einem System erhöhen und damit erst komplette Computer, danach komplette Netzwerke übernehmen. Schlussendlich erhalten Angreifer durch die Lücke administrative Rechte auf dem System.

Dabei kommen häufig wieder Kombinationen von Angriffen auf andere Schwachstellen zum Einsatz. Um diese Lücke zu schließen, und auch gleich noch die Lücken CVE-2023-32046, CVE-2023-32049 und CVE-2023-32057 wird am besten das kumulative Update für die jeweilige Windows-Version installiert werden. Diese stellt Microsoft nicht nur direkt in Microsoft Update zur Verfügung, sondern auch über den Link der Schwachstellen für jede einzelne Windows-Version. Nach dem Download der MSU-Datei lässt sich diese manuell im Netzwerk verteilen, auch mit Skripten. Der Download für Windows 11 Version 22H2 lässt sich ebenfalls manuell durchführen. Das geht relativ einfach in der Befehlsteile mit dem Tool "wusa.exe". Am Beispiel von Windows 11 Version 22H2 erfolgt das mit:

Als Pfad muss der richtige Pfad eingetragen werden. Danach startet die Installation und installiert das aktuelle, kumulative Update für die jeweilige Windows-Version. Das funktioniert auch komplett ohne Automatisierung mit Windows-Update. Nach der Installation ist in den meisten Fällen ein Neustart notwendig. Das zeigt der Installationsassistent an.

Microsoft Patchday Juli 2023

Patchday-Rekord: 130 Sicherheits-Updates!

Noch mehr Exploits für Windows aufgetaucht: CVE-2023-32046 und CVE-2023-32049

Auch für die beiden Lücken CVE-2023-32046 und CVE-2023-32049 sind ebenfalls Exploits aufgetaucht. Mit der Lücke CVE-2023-32046 können Angreifer ihre Rechte für das System erhöhen, genauso wie bei CVE-2023-36874. Auf der anderen Seite schaltet das Ausnutzen der Lücke CVE-2023-32049 den SmartScreen-Filter in Windows aus, der vor Malware warnt. In Verbindung mit CVE-2023-35311 (siehe oben) können Angreifer komplette Systeme übernehmen und Ransomware nahezu ungehindert einschleusen, indem sie zum Beispiel das E-Mail-System ausnutzen. Dabei kann es sich um Exchange oder Exchange Online handeln, aber auch um andere Arten von Systemen. Nutzer erhalten in diesem Fall eine E-Mail mit einem Anhang. Öffnen die Nutzer die Datei, hebelt diese den lokalen Schutz von Windows aus und kann Ransomware im Netzwerk verteilen. Der Schutz erfolgt in Windows 10/11 über die Installation des aktuellen, kumulativen Updates. Dabei handelt es sich um das Gleiche, wie bei CVE-2023-36874 (aber nicht wie bei CVE-2023-35311).

Message Queuing Service patchen oder deinstallieren

Die Lücke CVE-2023-32057 nutzt den Message Queuing Service (MQS) aus, um Remotecode auf einem Computer auszuführen. Betroffen sind an dieser Stelle wieder alle Windows-Versionen, ebenfalls Windows 11 Version 22H2 und Windows Server 2022.

Das Schließen der Lücke erfolgt über das jeweilige, kumulative Update für das Betriebssystem, wie bei CVE-2023-36874, CVE-2023-32046 und CVE-2023-32049. Wer auf einem Computer den Message Queuing Service nicht benötigt, sollte ihn deaktivieren. Am Beispiel von Windows 10/11 erfolgt das über das ein- und ausschalten von optionalen Windows-Features.

Diese lassen sich durch Aufrufen von "optionalfeatures.exe" direkt aus dem Suchfeld des Startmenüs heraus starten. Hier sollte überprüft werden, ob "Microsoft Message Queue (MSMQ)-Server installiert ist. Wenn die Komponente nicht notwendig ist, macht es Sinn diese an dieser Stelle zu deinstallieren.

Auf Windows-Servern erfolgen Installation und Deinstallieren über den Server-Manager oder das Windows Admin Center bei den Features über den Bereich "Message Queuing". In der PowerShell lässt sich das Feature mit dem folgenden Befehl deinstallieren:

Ob das Feature installiert ist, lässt sich mit dem folgenden Befehl anzeigen:

Microsoft Defender for Business

Malwareschutz von Microsoft aus der Cloud für KMU

(ID:49617649)