Microsoft behebt im Rahmen des letzten Patchdays dieses Jahres insgesamt 72 Schwachstellen in verschiedenen Produkten. Betroffen sind
laut der Zero Day Initiative (ZDI) Windows und dessen Komponenten, Office, Sharepoint Server, Hyper-V, Defender for Endpoint sowie der System Center Operations Manager. Zwei der Sicherheitslücken wurden im Rahmen des Zero Day Initiative (ZDI)-Programms gemeldet.
Insgesamt werden 16 Schwachstellen als kritisch, 54 als wichtig und eine als mässig eingestuft. Laut Zero Day Initiative ist dieser Dezember damit der sicherheitsintensivste seit 2017. Im Jahr 2024 hat
Microsoft insgesamt 1020 Sicherheitslücken geschlossen, womit dieses Jahr nur von den 1250 Fixes im Jahr 2020 übertroffen wird.
Besondere Aufmerksamkeit verdient laut ZDI die Sicherheitslücke CVE-2024-49138, die zum Zeitpunkt der Veröffentlichung bereits aktiv ausgenutzt wird. Diese Schwachstelle betrifft den Windows Common Log File System Driver und ermöglicht eine Erhöhung von Nutzerprivilegien. Angreifer könnten diese Schwachstelle nutzen, um Systeme zu übernehmen, wie es häufig bei Ransomware-Angriffen und gezielten Phishing-Kampagnen der Fall ist, wie die ZDI schreibt.
Eine weitere bedeutende Schwachstelle ist CVE-2024-49112, die eine Remote-Code-Ausführung über das Lightweight Directory Access Protocol (LDAP) ermöglicht. Diese Schwachstelle weist mit einem CVSS-Score von 9,8 den höchsten CVSS-Score im Dezember auf. Angreifer könnten speziell gestaltete LDAP-Anfragen nutzen, um Domain-Controller zu kompromittieren. Microsoft empfiehlt, Domain-Controller vom Internet zu trennen, was jedoch für viele Unternehmen nur schwer umsetzbar sein dürfte. Ein schnelles Einspielen der Patches sei hier darum dringend erforderlich, so die ZDI.
Ebenfalls relevant ist laut ZDI eine Schwachstelle in Hyper-V (CVE-2024-49117), die es Angreifern auf einer Gast-VM erlaubt, Code auf dem Host-Betriebssystem auszuführen. Darüber hinaus könnten auch Cross-VM-Angriffe durchgeführt werden. Obwohl eine Authentifizierung erforderlich ist, reiche ein Basiszugriff aus, was die Dringlichkeit für ein Update unterstreiche.
Nebst den Microsoft-Patches geht die Zero Day Initiative
im jüngsten Blog-Beitrag auch auf den Patchday von Adobe ein. Adobe hat im Dezember 2024 insgesamt 16 Updates veröffentlicht, die 167 Sicherheitslücken in zahlreichen Produkten wie Adobe Experience Manager, Acrobat und Reader, Animate, Photoshop und Premiere Pro schliessen. Besonders betroffen ist der Experience Manager mit 91 behobenen Schwachstellen, grösstenteils Cross-Site Scripting (XSS). Kritische Codeausführungsschwachstellen wurden vor allem in Animate und Acrobat adressiert. Unternehmen sollten auch im Falle von Adobe die Updates dringend einspielen, um Sicherheitsrisiken zu minimieren.
(mw)
