Microsoft Security Update Summary (9. Mai 2023) (2024)

Publiziert am 9. Mai 2023 von Günter Born

[English]Am 9. Mai 2023 hat Microsoft Sicherheitsupdates für Windows-Clients und -Server, für Office – sowie für weitere Produkte – veröffentlicht. Die Sicherheitsupdates beseitigen 37 CVE-Schwachstellen, sechs davon sind kritisch und 36 sind als wichtig eingestuft. Nachfolgend findet sich ein kompakter Überblick über diese Updates, die zum Patchday freigegeben wurden.Eine Liste der Updates finden Sie auf dieser Microsoft-Seite. Details zu den Update-Paketen für Windows, Office etc. sind in separaten Blogbeiträgen verfügbar.

Hinweise zu den Updates

Windows 10 Version 20H2 bis 22H2 verwenden einen gemeinsamen Kern und besitzen einen identischen Satz von Systemdateien. Daher werden für diese Windows 10 Versionen die gleichen Sicherheitsupdate ausgeliefert. Informationen zur Aktivierung der Features von Windows 10, welches durch ein Enablement Package-Update erfolgt, finden sich diesem Techcommunity-Beitrag.

Windows 10/11, Windows Server

Alle Windows 10/11-Updates (sowie die Updates der Server-Pendants) sind kumulativ. Das monatliche Patchday-Update enthält alle Sicherheitsfixes für diese Windows-Versionen – sowie alle nicht sicherheitsbezogenen Fixes bis zum Patchday. Zusätzlich zu den Sicherheitspatches für die Schwachstellen enthalten die Updates auch Fixes zur Behebung von Fehlern oder Neuerungen (z.B. Moments 2 Update für Windows 11 22H2). Microsoft integriert die Servicing Stack Updates (SSUs) in den aktuellen kumulativen Updates (Latest Cumulative Updates, LCUs) für neuere Windows 10-Versionen. Eine Liste der aktuellen SSUs findet sich unter ADV990001 (wobei die Liste nicht immer aktuell ist).

Am 9. Mai 2023 erreicht Windows 10 Version 20H2 (Enterprise, Education) sein End-of-live und erhält letztmalig Sicherheitsupdates. Am 13. Juni 2023 wird Windows 10 Version 21H2 in den Varianten Home und Pro ebenfalls das End-of-live erreichen.

Windows 7 SP1/Windows Server 2012 R2

Windows 7 SP1 wird seit Januar 2020 nicht mehr unterstützt. Nur Kunden mit einer ESU-Lizenz für das 4. Jahr (oder Umgehungsmaßnahmen) erhalten noch Updates. Updates können auch aus dem Microsoft Update Catalog heruntergeladen werden. Windows 8.1 ist im Januar 2023 aus dem Support gefallen. Windows Server 2012 /R2 erhält bis Oktober 2023 Sicherheitsupdates.

Gefixte Schwachstellen

Bei Tenable gibt es diesen Blog-Beitrag mit einer Übersicht der gefixten Schwachstellen. Eine schwachstelle wurde in freier Wildbahn ausgenutzt. Hier einige der kritischen Schwachstellen, die beseitigt wurden:

• CVE-2023-29336: Win32k Elevation of Privilege Vulnerability, CVEv3 Score 7.8, important; Es ist eine EoP-Schwachstelle in Microsofts Win32k, einem zentralen kernelseitigen Treiber, der in Windows verwendet wird. Diese Sicherheitslücke und wurde in freier Wildbahn als Zero-Day ausgenutzt. Die Ausnutzung dieser Sicherheitsanfälligkeit würde es einem Angreifer ermöglichen, auf einem betroffenen Host SYSTEM-Berechtigungen zu erlangen.
• CVE-2023-24932: Secure Boot Security Feature Bypass Vulnerability; CVEv3 Score 6.7, important; Es ist eine Sicherheitslücke in Secure Boot in Windows-Betriebssystemen, die das Ausführen nicht vertrauenswürdiger Software während des Startvorgangs ermöglicht. Die Schwachstelle wurde öffentlich bekannt gemacht und als Zero-Day-Schwachstelle ausgenutzt, bevor ein Patch zur Verfügung stand. Zur Ausnutzung dieser Schwachstelle muss ein Angreifer über administrative Rechte oder physischen Zugriff auf das anfällige Gerät verfügen, weshalb Microsoft diese Schwachstelle gemäß dem Microsoft Exploitability Index als "weniger wahrscheinlich" eingestuft hat.
• CVE-2023-29325: Windows OLE Remote Code Execution Vulnerability; CVEv3 Score 8.1 , critical; Es ist eine RCE im Windows Object Linking and Embedding (OLE)-Mechanismus von Windows-Betriebssystemen, der öffentlich bekannt ist. Windows OLE ist eine Technologie, die die Erstellung von Dokumenten ermöglicht, die Objekte aus verschiedenen Anwendungen enthalten. Die Sicherheitslücke liegt in der Verarbeitung von RTF-Dokumenten und E-Mails. Laut Microsoft ist das Vorschaufenster in Microsoft Outlook und Office ein Angriffsvektor für die Schwachstelle. Ein nicht authentifizierter, entfernter Angreifer kann diese Sicherheitslücke ausnutzen, indem er ein speziell gestaltetes Dokument an ein anfälliges System sendet. Der Schwachstelle wurde jedoch eine hohe Komplexität zugewiesen, da der Angreifer für eine erfolgreiche Ausnutzung eine Wettlaufbedingung erfüllen und das Ziel auf die Ausnutzung vorbereitet sein muss. In diesem Bereich wurde in den Vormonaten bereit (unvollständig) gepatcht.
• CVE-2023-24941: Windows Network File System Remote Code Execution Vulnerability; CVEv3 Score 9.8 , critical; Es ist eine kritische RCE-Schwachstelle, die unterstützte Versionen von Windows Server betrifft. Die betroffene Komponente ist der Network File System (NFS)-Dienst, der für die gemeinsame Nutzung von Dateien zwischen Unix- und Windows Server-Systemen verwendet wird. Die Sicherheitslücke betrifft insbesondere NFSV4.1, nicht aber NFSV2.0 oder NFSV3.0. CVE-2023-24941 kann remote von einem nicht authentifizierten Angreifer ausgenutzt werden, der einen bösartigen Aufruf an einen anfälligen Server sendet.

Eine Liste aller abgedeckten CVEs finden Sie auf dieser Microsoft-Seite, Auszüge sind bei Tenable abrufbar. Nachfolgend noch die Liste der gepatchten Produkte:

• Microsoft Bluetooth Driver
• Microsoft Graphics Component
• Microsoft Office
• Microsoft Office Access
• Microsoft Office Excel
• Microsoft Office SharePoint
• Microsoft Office Word
• Microsoft Teams
• Microsoft Windows Codecs Library
• Reliable Multicast Transport Driver (RMCAST)
• Remote Desktop Client
• SysInternals
• Visual Studio Code
• Windows Backup Engine
• Windows Installer
• Windows iSCSI Target Service
• Windows Kernel
• Windows LDAP – Lightweight Directory Access Protocol
• Windows MSHTML Platform
• Windows Network File System
• Windows NFS Portmapper
• Windows NTLM
• Windows OLE
• Windows RDP Client
• Windows Remote Procedure Call Runtime
• Windows Secure Boot
• Windows Secure Socket Tunneling Protocol (SSTP)
• Windows SMB
• Windows Win32K

Ähnliche Artikel:
Microsoft Security Update Summary (9. Mai 2023)
Patchday: Windows 10-Updates (9. Mai 2023)
Patchday: Windows 11/Server 2022-Updates (9. Mai 2023)
Windows 7/Server 2008 R2; Server 2012 R2: Updates (9. Mai 2023)
Patchday: Microsoft Office Updates (9. Mai 2023)
Microsoft Office Updates (2. Mai 2023)

Dieser Beitrag wurde unter Office, Sicherheit, Software, Update, Windows abgelegt und mit Office, Patchday 4.2023, Sicherheit, Update, Windows verschlagwortet. Setze ein Lesezeichen auf den Permalink.