Microsoft Security Update Summary (13. September 2022)

[English]Am 13. September 2022 hat Microsoft Sicherheitsupdates für Windows-Clients und -Server, für Office usw. – sowie für weitere Produkte  – veröffentlicht. Die Sicherheitsupdates beseitigen zudem 63 Schwachstellen, davon 5 kritisch und eine 0-day-Schwachstelle. Nachfolgend findet sich ein kompakter Überblick über diese Updates, die zum Patchday freigegeben wurden.

Eine Liste der Updates finden Sie auf dieser Microsoft-Seite. Details zu den Update-Paketen für Windows, Office etc. sind in separaten Blogbeiträgen verfügbar.

Hinweise zu den Updates

Windows 10 Version 20H2 bis 21H2 verwenden einen gemeinsamen Kern und besitzen einen identischen Satz von Systemdateien. Daher werden für diese Windows 10 Versionen die gleichen Sicherheitsupdate ausgeliefert. Informationen zur Aktivierung der Features von Windows 10, welches durch ein Enablement Package-Update erfolgt, finden sich diesem Techcommunity-Beitrag. Windows 10 20H2 und Windows Server 20H2 erhalten letztmalig Updates.

Alle Windows 10-Updates sind kumulativ. Das monatliche Patchday-Update enthält alle Sicherheitsfixes für Windows 10 und alle nicht sicherheitsbezogenen Fixes bis zum Patchday. Zusätzlich zu den Sicherheitspatches für die Schwachstellen enthalten die Updates Maßnahmen zur Verbesserung der Sicherheit. Microsoft integriert die Servicing Stack Updates (SSUs) in den aktuellen kumulativen Updates (Latest Cumulative Updates, LCUs) für neuere Windows 10-Versionen. Eine Liste der aktuellen SSUs findet sich unter ADV990001 (wobei die Liste nicht immer aktuell ist).

Windows 7 SP1 wird seit Januar 2020 nicht mehr unterstützt. Nur Kunden mit einer ESU-Lizenz für das 3. Jahr (oder Umgehungsmaßnahmen) erhalten noch Updates. Mit dem aktuellen ESU-Bypass lässt das Update installieren. Updates können auch aus dem Microsoft Update Catalog heruntergeladen werden. Die Updates für Windows RT 8.1 und Microsoft Office RT sind nur über Windows Update erhältlich.

Gefixte Schwachstellen

Die Sicherheitsupdates vom September 2022 beseitigen 63 Schwachstellen, davon 5 kritisch und eine 0-day-Schwachstelle. Eine Liste aller abgedeckten CVEs finden Sie auf dieser Microsoft-Seite. Bei Tenable gibt es zudem diesen Blog-Beitrag mit einer Übersicht der gefixten Schwachstellen. Hier einige wichtige und kritische Schwachstellen:

• CVE-2022-37969: Windows Common Log File System Driver Elevation of Privilege Vulnerability, Important,  EoP-Schwachstelle im Windows Common Log File System (CLFS)-Treiber. Nach Angaben von Microsoft wurde diese Sicherheitslücke bereits ausgenutzt. Sie weisen auch darauf hin, dass sie öffentlich bekannt gemacht wurde, bevor ein Patch zur Verfügung stand.
• CVE-2022-24521: Important, eine ähnliche Sicherheitslücke in CLFS, wurde Anfang des Jahres als Teil der Microsoft Patch Tuesday-Veröffentlichung im April gepatcht. Die Schwachstelle CVE-2022-24521 wurde Microsoft von der National Security Agency (NSA) und CrowdStrike gemeldet, die auch in freier Wildbahn ausgenutzt wurde. CVE-2022-37969 wurde mehreren Gruppen zugeschrieben, darunter auch CrowdStrike, obwohl es derzeit unklar ist, ob CVE-2022-37969 möglicherweise eine Umgehung des Patches für CVE-2022-24521 ist.
• CVE-2022-34718: Windows TCP/IP Remote Code Execution Vulnerability, Critical, eine RCE in Windows TCP/IP, die eine CVSSv3-Punktzahl von 9,8 erhalten hat und gemäß dem Exploitability Index von Microsoft als "Exploitation More Likely" eingestuft wurde. Diese Sicherheitslücke kann nur gegen Systeme mit aktivierter Internet Protocol Security (IPsec) ausgenutzt werden. Bei erfolgreicher Ausnutzung könnte ein nicht authentifizierter Angreifer Remotecodeausführung erlangen. Microsoft hat Patches für alle unterstützten Versionen von Windows, einschließlich der Server Core-Editionen, veröffentlicht.
• CVE-2022-34721 und CVE-2022-34722: Windows Internet Key Exchange (IKE) Protocol Extensions Remote Code Execution Vulnerability, Critical, RCE-Schwachstellen in den Windows IKE-Protokoll-Erweiterungen, die eine CVSSv3-Punktzahl von 9,8 erhielten und als "Exploitation Less Likely" eingestuft wurden. Das IKE-Protokoll ist eine Komponente von IPsec, die zum Einrichten von Sicherheitsverbindungen (Beziehungen zwischen Geräten auf der Grundlage gemeinsamer Sicherheitsattribute) verwendet wird. Diese Schwachstellen würden es einem nicht authentifizierten, entfernten Angreifer ermöglichen, ein speziell präpariertes IP-Paket an ein Ziel mit aktiviertem IPsec zu senden und Remotecodeausführung zu erreichen. IPsec dient dem Schutz sensibler Daten und wird häufig in virtuellen privaten Netzwerken eingesetzt. Nachfolgend noch die Liste der kritischen und wichtigen Sicherheitsupdates – zu denen in separaten Blog-Beiträgen noch Details berichtet werden.
• CVE-2022-37956, CVE-2022-37957 und CVE-2022-37964: Windows Kernel Elevation of Privilege Vulnerability, Important, EoP-Schwachstellen, die den Windows-Kernel betreffen. Alle drei Schwachstellen erhielten CVSSv3-Werte von 7,8 und könnten es einem Angreifer ermöglichen, Rechte auf SYSTEM-Ebene zu erlangen, wenn sie ausgenutzt werden. Von den drei Schwachstellen wurde nur CVE-2022-37957 als "Exploitation More Likely" eingestuft. Seltsamerweise betreffen alle drei verschiedene Versionen von Windows. CVE-2022-37964 betrifft zum Beispiel nur Windows 7, Windows Server 2008 und 2008 R2. CVE-2022-37956 betrifft alle unterstützten Versionen von Windows und Windows Server, während CVE-2022-37957 nur Windows 10 und höher betrifft, einschließlich Windows Server Versionen 2016, 2019 und 2022.

Die Kollegen von Bleeping Computer haben hier eine vollständige Liste aller gepatchten CVE-Schwachstellen veröffentlicht. Nachfolgend noch die Liste der gepatchten Produkte:

Critical Security Updates

Windows 10 for 32-bit Systems
Windows 10 for x64-based Systems
Windows 10 Version 1607 for 32-bit Systems
Windows 10 Version 1607 for x64-based Systems
Windows 10 Version 1809 for 32-bit Systems
Windows 10 Version 1809 for ARM64-based Systems
Windows 10 Version 1809 for x64-based Systems
Windows 10 Version 20H2 for 32-bit Systems
Windows 10 Version 20H2 for ARM64-based Systems
Windows 10 Version 20H2 for x64-based Systems
Windows 10 Version 21H1 for 32-bit Systems
Windows 10 Version 21H1 for ARM64-based Systems
Windows 10 Version 21H1 for x64-based Systems
Windows 10 Version 21H2 for 32-bit Systems
Windows 10 Version 21H2 for ARM64-based Systems
Windows 10 Version 21H2 for x64-based Systems
Windows 11 for ARM64-based Systems
Windows 11 for x64-based Systems
Windows 8.1 for 32-bit systems
Windows 8.1 for x64-based systems
Windows RT 8.1
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server 2022
Windows Server 2022 (Server Core installation)
Windows Server 2022 Azure Edition Core Hotpatch
Microsoft Dynamics CRM (on-premises) 9.0
Microsoft Dynamics CRM (on-premises) 9.1

Important Security Updates

Microsoft 365 Apps for Enterprise for 32-bit Systems
Microsoft 365 Apps for Enterprise for 64-bit Systems
Microsoft Office 2013 RT Service Pack 1
Microsoft Office 2013 Service Pack 1 (32-bit editions)
Microsoft Office 2013 Service Pack 1 (64-bit editions)
Microsoft Office 2016 (32-bit edition)
Microsoft Office 2016 (64-bit edition)
Microsoft Office 2019 for 32-bit editions
Microsoft Office 2019 for 64-bit editions
Microsoft Office 2019 for Mac
Microsoft Office LTSC 2021 for 32-bit editions
Microsoft Office LTSC 2021 for 64-bit editions
Microsoft Office LTSC for Mac 2021
Microsoft SharePoint Enterprise Server 2013 Service Pack 1
Microsoft SharePoint Enterprise Server 2016
Microsoft SharePoint Foundation 2013 Service Pack 1
Microsoft SharePoint Server 2019
Microsoft SharePoint Server Subscription Edition
SharePoint Server Subscription Edition Language Pack
Microsoft Visio 2013 Service Pack 1 (32-bit editions)
Microsoft Visio 2013 Service Pack 1 (64-bit editions)
Microsoft Visio 2016 (32-bit edition)
Microsoft Visio 2016 (64-bit edition)
Visual Studio 2022 for Mac version 17.3
Visual Studio Code
.NET 6.0
.NET Core 3.1
Microsoft .NET Framework 2.0 Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2
Microsoft .NET Framework 3.5
Microsoft .NET Framework 3.5 AND 4.6.2/4.7/4.7.1/4.7.2
Microsoft .NET Framework 3.5 AND 4.7.2
Microsoft .NET Framework 3.5 AND 4.8
Microsoft .NET Framework 3.5 AND 4.8.1
Microsoft .NET Framework 3.5.1
Microsoft .NET Framework 4.6
Microsoft .NET Framework 4.6/4.6.1/4.6.2/4.7/4.7.1/4.7.2
Microsoft .NET Framework 4.8
Microsoft .NET Framework 4.8.1
Microsoft Visual Studio 2019 version 16.11 (includes 16.0 – 16.10)
Microsoft Visual Studio 2019 version 16.9 (includes 16.0 – 16.8)
Microsoft Visual Studio 2022 version 17.0
Microsoft Visual Studio 2022 version 17.2
Microsoft Visual Studio 2022 version 17.3
AV1 Video Extension
Raw Image Extension
Azure ARC
Azure Guest Configuration
Microsoft Defender for Endpoint for Mac

Ähnliche Artikel:
Microsoft Office Updates mit Fix für Excel-Bug (6. September 2022)
Microsoft Security Update Summary (13. September 2022)
Patchday: Windows 10-Updates (13. September 2022)
Patchday: Windows 11/Server 2022-Updates (13. September 2022)
Windows 7/Server 2008R2; Windows 8.1/Server 2012R2: Updates (13. September 2022)
Patchday: Microsoft Office Updates (13. September 2022)