MS Malware Protection Engine Update 25. Mai 2017

Im Mai 2017 musste Microsoft einige Sicherheitslücken in seinen Produkten schließen. So wurde eine kritische Lücke in der Microsoft Malware Protection Engine (MsMpEng) entdeckt und mit einem Sonder-Update geschlossen. Nun ist mir eine Info mit Details in die Hände gefallen, was Microsoft mit dem Mai 2017-Update in der MsMpEng an zusätzlichen CVS adressiert hat.

Der Mai 2017 war sicherheitstechnisch ja eine Katastrophe, WannCry und weitere Ransomware adressierten Sicherheitslücken in Windows. Der Patchday war recht umfassend (siehe Blogrückschau auf die ersten Maiwochen) und es gab am 22.5.2017 ein Sonder-Update des Windows Malicious Software Removal Tool KB890830 ohne weitere Details. Wellen hat auch die, Anfang Mai 2017, in der Microsoft Malware Protection Engine (MsMpEng) entdeckte Lücke geschlagen (siehe Neue kritische Windows-Lücke (in MsMpEng) entdeckt). Jetzt gibt es neue Informationen zu diesem Thema.

Erstes Sicherheits-Update Advisory für MsMpEng

Am 8./9. Mai 2017 hat Microsoft ja ein Sicherheits-Update Advisory 4022344 Update für die Microsoft Malware Protection Engine veröffentlicht. Microsoft informierte darin die Anwender über ein Update der Microsoft Malware Protection Engine. Diese adressiert eine Sicherheitslücke (CVE-2017-0290) die an Microsoft berichtet wurde.

Die Sicherheitslücke (CVE-2017-0290) ermöglicht Remote Code-Ausführung, wenn die Microsoft Malware Protection Engine eine präparierte Datei scannt. Es kommt wohl zu einem Problem in der Scripting Engine, wenn Real Time Protection eingeschaltet ist. Dann scannt die Protection Engine alle Dateien, die z.B. per E-Mail-Anhang auf dem System eintreffen, selbständig. Andernfalls lässt sich die Lücke bei regulären Scans der Dateien ausnutzen. Ein Angreifer, der die Sicherheitslücke ausnutzt, kann dann Code mit LocalSystem-Privilegien ausführen und die Kontrolle über das System übernehmen.

Ich hatte ausführlicher im Blog-Beitrag Sicherheits-Update Advisory für MS Malware Protection Engine berichtet. Aber das war wohl noch nicht alles.

Nachtrag: Microsoft Security Update Releases Mai 2017

Nun hat Microsoft die Liste der zusätzlich adressierten Sicherheitslücken (CVEs) für den Mai 2017 unter dem Titel 'Microsoft Security Update Releases' veröffentlicht. Hier einfach mal die von Microsoft gegebenen Informationen:

********************************************************************
Title: Microsoft Security Update Releases
Issued: May 25, 2017
********************************************************************

Summary
=======

The following CVEs have been added to May 2017 release. 

* CVE-2017-8535
* CVE-2017-8536
* CVE-2017-8537
* CVE-2017-8538
* CVE-2017-8539
* CVE-2017-8540
* CVE-2017-8541
* CVE-2017-8542

Revision Information:
=====================

CVE-2017-0223

 - CVE-2017-8542 | Microsoft Malware Protection Engine Denial 
   of Service Vulnerability

 - CVE-2017-8541 | Microsoft Malware Protection Engine Remote 
   Code Execution Vulnerability

 - CVE-2017-8540 | Microsoft Malware Protection Engine Remote 
   Code Execution Vulnerability

 - CVE-2017-8539 | Microsoft Malware Protection Engine Denial
   of Service Vulnerability

 - CVE-2017-8538 | Microsoft Malware Protection Engine Remote 
   Code Execution Vulnerability

 - CVE-2017-8537 | Microsoft Malware Protection Engine Denial 
   of Service Vulnerability

 - CVE-2017-8536 | Microsoft Malware Protection Engine Denial 
   of Service Vulnerability

 - CVE-2017-8535 | Microsoft Malware Protection Engine Denial 
   of Service Vulnerability 

 - https://portal.msrc.microsoft.com/en-us/security-guidance
 - Version: 1.0
 - Reason for Revision: Microsoft is releasing this out-of-band CVE 
   information to announce that a security update is available for 
   the Microsoft Malware Protection Engine. Microsoft recommends 
   that customers verify that the update is installed, and if 
   necessary, take steps to install the update. For more information 
   see the FAQ section
 - Originally posted: May 25, 2017  
 - Aggregate CVE Severity Rating: Critical
 - Version: 1.0

Microsoft gibt auch an, dass weitere Informationen im Security Update Guide zu finden seien. Beim Schreiben dieses Blog-Beitrags habe ich im Security Update Guide aber nichts zu CVE-2017-0223 sowie den nachfolgenden CVEs gefunden. Die nachfolgenden Informationen stammen daher aus anderen Quellen. Ergänzung: Die CVEs werden zwischenzeitlich angezeigt – siehe mein Nachtrag weiter unten.

Die Details aufbereitet

CVE-2017-0223 adressiert laut dieser Webseite Sicherheitslücken im Microsoft Chakra Core:

A remote code execution vulnerability exists in Microsoft Chakra Core in the way JavaScript engines render when handling objects in memory. aka "Scripting Engine Memory Corruption Vulnerability". This vulnerability is unique from CVE-2017-0252.

Folgende CVEs werden laut dem Microsoft-Dokument zusätzlich durch das Mai-Update der MsMpEng adressiert (die Verlinkungen führen auf die CVE-Datenbank).

• CVE-2017-8535: Microsoft Malware Protection Engine; Denial of Service Vulnerability
• CVE-2017-8536: Microsoft Malware Protection Engine; Denial of Service Vulnerability
• CVE-2017-8537: Microsoft Malware Protection Engine; Denial of Service Vulnerability
• CVE-2017-8538: Microsoft Malware Protection Engine; Remote  Code Execution Vulnerability
• CVE-2017-8539: Microsoft Malware Protection Engine; Denial of Service Vulnerability
• CVE-2017-8540: Microsoft Malware Protection Engine; Remote  Code Execution Vulnerability
• CVE-2017-8541 Microsoft Malware Protection Engine; Remote  Code Execution Vulnerability
• CVE-2017-8542: Microsoft Malware Protection Engine; Denial of Service Vulnerability

Die betreffenden CVEs wurden am 3. Mai 2017 in der Datenbank eingetragen. Nach der obigen Liste hat Microsoft also diese CVEs adressiert.

Nachtrag: Zwischenzeitlich werden die CVE-Einträge bei Microsoft gefunden. Hier die Links mit den Details im MSRC.

CVE-2017-8535
CVE-2017-8536
CVE-2017-8537
CVE-2017-8538
CVE-2017-8539
CVE-2017-8540
CVE-2017-8541
CVE-2017-8542

Update der Microsoft Malware Protection Engine

Nun wird es etwas kryptisch. In der Security Update Releases-Information schreibt Microsoft dann:

Reason for Revision: Microsoft is releasing this out-of-band CVE information to announce that a security update is available for the Microsoft Malware Protection Engine. Microsoft recommends that customers verify that the update is installed, and if necessary, take steps to install the update. For more information  see the FAQ section

– Originally posted: May 25, 2017

Die FAQ-Section gibt es nicht im betreffenden Dokument, was mir per Mail zuging. Ich habe die obige Nachricht dann so interpretiert, dass ein zweites Update der Microsoft Malware Protection Engine am 25. Mai 2017 freigegeben wurde, um die obigen CVEs zu adressieren. Da die MSMpEn nicht per Windows Update, sondern direkt durch die Microsoft Sicherheitsprodukte (Windows Defender, Microsoft Security Essentials etc.) aktualisiert wird, habe ich mal meine Maschine überprüft.

Wie das funktioniert, habe ich im Blog-Beitrag MS Malware Protection Engine – welche Version habe ich? (siehe folgende Linkliste) gezeigt. Bei mir ist die Version 1.1.13804.0 installiert, während am 9. Mai 2017 noch die Version 1.1.13704.0 vorhanden war. Die Microsoft Malware Protection Engine wurde wohl zwischenzeitlich durch die Microsoft Security Essentials oder den Windows Defender automatisch aktualisiert.

Nachtrag: In dieser CVE-Liste sind noch ein paar Informationen zu Sicherheitslücken aus 2017 zu finden. Allerdings korrespondieren die CVE-Nummern dort nicht unbedingt mit den obigen CVE-Nummern. Danke an Leon für den Link. Auch beim Chromium-Projekt ist ein Eintrag vom 16. Mai 2017 zu finden. Und Tavis Ormandis merkt hier an, dass eine weitere Lücke mit dem obigen Patch geschlossen wurde.

Falls jemand von Euch noch weitere Informationen, Einsichten oder Ergänzungen hat, kann er diese in den Kommentaren hinterlassen.

Ähnliche Artikel:
Neue kritische Windows-Lücke (in MsMpEng) entdeckt
Sicherheits-Update Advisory für MS Malware Protection Engine
MS Malware Protection Engine – welche Version habe ich?

Blogrückschau auf die ersten Maiwochen
Windows Malicious Software Removal Tool KB890830
Sicherheitslücke auf Samba-Servern–Patchen angesagt
Update KB4020102 für Windows 10 Version 1703
Windows 10 Version 1703: Updates KB4021572 und KB4021573
VLC 2.2.6 Media Player freigegeben
WannaCry & Co.: EternalBlue Vulnerability Checker und Crysis Ransomware Decryptor
Netgear sammelt Router 'Analytics Daten'
Windows durch durch Untertitel in Videos angreifbar
Windows10: Neue UAC-Bypassing-Methode (fodhelper.exe)