[English]Am 10. Dezember 2024 hat Microsoft Sicherheitsupdates für Windows-Clients und -Server, für Office – sowie für weitere Produkte – veröffentlicht. Die Sicherheitsupdates beseitigen 70 Schwachstellen (CVEs), davon 16 kritische Sicherheitslücken, davon eine als 0-day klassifiziert (bereits ausgenutzt). Nachfolgend findet sich ein kompakter Überblick über diese Updates, die zum Patchday freigegeben wurden.
Anzeige
Hinweise zu den Updates
Eine Liste der Updates finden Sie auf dieser Microsoft-Seite. Details zu den Update-Paketen für Windows, Office etc. sind in separaten Blogbeiträgen verfügbar.
Windows 10/11, Windows Server
Alle Windows 10/11-Updates (sowie die Updates der Server-Pendants) sind kumulativ. Das monatliche Patchday-Update enthält alle Sicherheitsfixes für diese Windows-Versionen – sowie alle nicht sicherheitsbezogenen Fixes bis zum Patchday. Zusätzlich zu den Sicherheitspatches für die Schwachstellen enthalten die Updates auch Fixes zur Behebung von Fehlern oder Neuerungen.
Windows Server 2012 R2
Windows Server 2012 /R2 erhält bis Oktober 2023 regulär Sicherheitsupdates. Ab diesem Zeitpunkt ist eine ESU-Lizenz zum Bezug weiterer Sicherheitsupdates erforderlich (Windows Server 2012/R2 bekommt Extended Sicherheitsupdates (ESU) bis Oktober 2026).
Gefixte Schwachstellen
Bei Tenable gibt es diesen Blog-Beitrag mit einer Übersicht der gefixten Schwachstellen. Hier einige der kritischen Schwachstellen, die beseitigt wurden:
Anzeige
- CVE-2024-49138, CVE-2024-49090, CVE-2024-49088: Windows Common Log File System Driver Elevation of Privilege-Schwachstelle, alle mit CVEv3 Score 7.8, important; Ein Angreifer könnte diese Schwachstelle ausnutzen, um Privilegien zu erhöhen. Laut Microsoft wurde die Schwachstelle CVE-2024-49138 in freier Wildbahn als Zero-Day ausgenutzt. Zum Zeitpunkt der Veröffentlichung dieses Blogeintrags waren keine weiteren Details zu dieser Sicherheitslücke verfügbar.
- CVE-2024-49070: Microsoft SharePoint Remote Code Execution-Schwachstelle, CVEv3 Score 7.8, important; In dem Microsoft-Bericht wird darauf hingewiesen, dass die Komplexität hoch ist und der Angreifer für eine erfolgreiche Ausnutzung zunächst das Ziel vorbereiten muss, um die Zuverlässigkeit eines Angriffs zu erhöhen. Obwohl keine Einzelheiten genannt wurden, stufte Microsoft diese Sicherheitslücke als „Ausnutzung eher wahrscheinlich" ein. Zusätzlich zu CVE-2024-49070 hat Microsoft zwei Sicherheitslücken zur Offenlegung von Informationen (CVE-2024-49062, CVE-2024-49064) und eine EoP-Schwachstelle (CVE-2024-49068) in Microsoft SharePoint gepatcht.
- CVE-2024-49118, CVE-2024-49122: Microsoft Message Queuing (MSMQ) Remote Code Execution-Schwachstelle, CVEv3 Score 8.1, critical; Laut Microsoft muss ein Angreifer eine Race Condition erfolgreich ausnutzen. Trotz dieser Voraussetzung stufte Microsoft CVE-2024-49122 als „Exploitation More Likely" ein, während CVE-2024-49118 als „Exploitation Less Likely" eingestuft wurde, da das Gewinnen der Race Condition „während der Ausführung einer bestimmten Operation, die auf dem Zielsystem in geringer Häufigkeit auftritt", erfolgen muss. Damit ein System anfällig ist, muss der MSMQ-Dienst hinzugefügt und aktiviert werden. Wenn der Dienst auf einer Windows-Installation aktiviert ist, wird laut Microsoft ein Dienst namens „Message Queueing" auf dem TCP-Port 1801 ausgeführt.
- CVE-2024-49106, CVE-2024-49108, CVE-2024-49115, CVE-2024-49116, CVE-2024-49119,CVE-2024-49120, CVE-2024-49123, CVE-2024-49128, CVE-2024-49132: Windows Remote Desktop Services Remote Code Execution-Schwachstelle, CVEv3 Score 8.1, critical; Es sind RCE-Schwachstellen, die Windows Remote Desktop Services betreffen. Eine erfolgreiche Ausnutzung ist komplex und erfordert, dass ein Angreifer eine Race Condition auslöst, um ein „Use-after-free-Szenario" zu schaffen, das zur Ausführung von beliebigem Code führen kann. Aufgrund der hohen Komplexität der Ausnutzung stufte Microsoft diese Sicherheitsanfälligkeiten als „Exploitation Less Likely" ein. Zusätzlich hat Microsoft dieDoS-Schwachstelle CVE-2024-49075 in den Remote Desktop Services behoben.
Eine Liste aller aufgedeckten CVEs finden Sie auf dieser Microsoft-Seite, Auszüge sind bei Tenable abrufbar.
Ähnliche Artikel:
Microsoft Security Update Summary (10. Dezember 2024)
Patchday: Windows 10/Server-Updates (10. Dezember 2024)
Patchday: Windows 11/Server 2022/2025-Updates (10. Dezember 2024)
Patchday: Windows Server 2012 / R2 (10. Dezember 2024)
Patchday: Microsoft Office Updates (10. Dezember 2024)
Anzeige
