[English]Microsoft hat zum 23. September 2019 überraschend außerplanmäßige Sicherheitsupdates für den Internet Explorer freigegeben, die eine Sicherheitslücke schließen sollen. Zudem gibt es eine Schwachstelle in den Microsoft Sicherheitsprodukten Windows Defender, Microsoft Security Essentials, und den Forefront-Sicherheitsprodukten, die durch ein Update des Antimalware-Moduls behoben wird.
Anzeige
Die Information über die Schwachstellen erfolgte per Twitter, wie Bleeping Computer hier herausgefunden hat.
Out of band security vulnerability fixes CVE-2019-1367 and CVE-2019-1255 have been released today. For more information please see https://t.co/QMUM53m8so and https://t.co/vy3d0wXWng.
— Security Response (@msftsecresponse) September 23, 2019
Ergänzung: Inzwischen habe ich auch eine Mail mit entsprechenden Informationen zu CVE-2019-1367 und CVE-2019-1255 von Microsoft erhalten. Nachfolgend bereite ich das Ganze bestmöglich auf und erkläre, welche Updates bereitstehen.
Schwachstelle CVE-2019-1255 im Defender
Die Schwachstelle CVE-2019-1255 betrifft eine Denial of Service Sicherheitslücke im Microsoft Defender. Diese Schwachstelle besteht, wenn der Microsoft Defender Dateien unsachgemäß behandelt. Ein Angreifer könnte die Schwachstelle ausnutzen, um zu verhindern, dass unter legitimen Konten legitime Systembinärdateien ausgeführt werden können.
Um die Schwachstelle auszunutzen, müsste ein Angreifer zunächst den Exploit-Code auf dem betroffenen System ausführen lassen. Microsoft stuft die Schwachstelle als Bedeutend (Important), aber nicht als kritisch ein. Das Sicherheitsupdate behebt die Schwachstelle, indem es sicherstellt, dass Microsoft Defender Dateien ordnungsgemäß verarbeitet. Allerdings gibt Microsoft bisher keine Downloads zum Schließen der Schwachstelle an. Betroffen sind folgende Sicherheitsprodukte von Microsoft:
Anzeige
- Microsoft Forefront Endpoint Protection 2010
- Microsoft System Center Endpoint Protection
- Microsoft System Center 2012 Endpoint Protection
- Microsoft System Center 2012 R2 Endpoint Protection
- Microsoft Security Essentials
- Windows Defender
Das Sicherheitsproblem betrifft im Grunde alle unterstützten Windows-Versionen mit der Microsoft Malware Protection Engine Version 1.1.16300.1. In der Microsoft Malware Protection Engine Version 1.1.16400.2 ist die Schwachstelle berücksichtigt. Das Update sollte automatisch durch die betreffenden Microsoft Sicherheitsprodukte erfolgen (bisher scheint das Update aber noch nicht bereit zu stehen).
Ergänzung: Am 24.09.2019 um ca. 8:00 Uhr hat eine erneute Updatesuche unter Windows 7 SP1 das Update KB2310138 gefunden, welches für die Microsoft Security Essentials die Modulversion der Antimalware-Engine auf 1.1.16400.2 angehoben hat. Ich gehe davon aus, dass auch Windows 8.1 und Windows 10 sowie die anderen Sicherheitsprodukte dieses Update erhalten haben.
Wie man die Modulversionen herausfindet, habe ich im Blog-Beitrag Defender Antimalware Version 4.18.1908.7 mit sfc-Fix? beschrieben. Dort musste Microsoft auf ein Scan-Problem reagieren (siehe Scan-Probleme mit Defender Antimalware Version 4.18.1908.7).
Diese Updates gibt es für Windows
Zudem hat Microsoft eine Reihe Sicherheitsupdates für den Internet Explorer freigegeben. Allerdings erläutert Microsoft in den KB-Artikeln nicht näher, weshalb der IE gefährdet ist. Diese Information findet man aber in CVE-2019-1367: Es handelt sich um eine Memory Corruption-Schwachstelle in der Scripting Engine des IE. Diese hängt davon ab, wie die Skript-Engine Objekte im Speicher im Internet Explorer behandelt. Die Schwachstelle könnte den Speicher so beschädigen, dass ein Angreifer beliebigen Code im Kontext des aktuellen Benutzers ausführen könnte. Ein Angreifer, der die Schwachstelle erfolgreich ausgenutzt hat, könnte die gleichen Benutzerrechte wie der aktuelle Benutzer erhalten. Wenn der aktuelle Benutzer mit administrativen Benutzerrechten angemeldet ist, kann ein Angreifer, der die Sicherheitslücke erfolgreich ausgenutzt hat, die Kontrolle über ein betroffenes System übernehmen. Ein Angreifer könnte dann Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit vollen Benutzerrechten erstellen.
Microsoft hat die nachfolgenden Sicherheitsupdates für die diversen Windows 10-Versionen zum Schließen der Schwachstelle im Internet Explorer freigegeben.
- KB4522016: Windows 10 Version 1903, Windows Server Version 1903
- KB4522015: Windows 10 Version 1809, Windows Server Version 1809, Windows Server 2019
- KB4522014: Windows 10 Version 1803
- KB4522012: Windows 10 Version 1709
- KB4522011: Windows 10 Version 1703
- KB4522010: Windows 10 Version 1607, Windows Server 2016
- KB4522009: Windows 10 Version 1507
- KB4522007: Windows Server 2008 R2 SP1, Windows Server 2012 R2, Windows Server 2012, Windows 8.1, Windows 7 SP1 für den IE 9 – 10
Die Sicherheitsupdates sind laut KB-Artikeln nur im Microsoft Update Catalog zum manuellen Download verfügbar und müssen manuell installiert werden. Bleeping Computer hat hier noch einige weitere Informationen zusammen getragen.
Ähnliche Artikel:
Windows: Juli 2019-Updates machen Probleme mit sfc
Windows: Problem mit Juli-Updates und sfc bestätigt
Scan-Probleme mit Defender Antimalware Version 4.18.1908.7
Defender Antimalware Version 4.18.1908.7 mit sfc-Fix?
Microsoft fixt den Windows Defender sfc-Fehler (August 2019)
Windows 10 V1903 und Malwarebytes: Fix für Defender-Deaktivierung und Kritik
Windows Defender: Blockt die Firewall den Echtzeit-Schutz?
Windows 10 V1903: Malwarebytes deaktiviert den Defender
Sophos kollidiert mit Windows Defender ATP – Fix kommt
Anzeige
Vielen Dank für die zeitnahe Information! Das ganze ist natürlich für Anwender mit einem PVS System und Word Anbindung (Makros müssen aktiviert sein!) ein ziemliches Desaster. Fremdanbieter von Antivierenlösungen sind oft auch keine echte Alternative, denn sie legen oft wegen Windows Inkompatibilität den Rechner lahm (auch ohne Virenbefall; in Amerika schon im Herzkatheter-Eingriffsraum während OP passiert).
Und da wundern sich so viele über die Emotet Epidemie.
Kritische Rechner hängen bei mir nur für Updates am Internet.
E-mail nur auf getrennten Systemen mit maximaler Sicherheitseinstellung.
"Die Sicherheitsupdates sind laut KB-Artikeln nur im Microsoft Update Catalog zum manuellen Download verfügbar und müssen manuell installiert werden"
ich könnte mir vorstellen das die heute abend (ab 19:00 MEZ) per WU kommen.
Ist ja Dienstag….
MESZ natürlich… wird Zeit das dass mal abgeschafft wird ;)
Hallo zusammen. Sie werden heute Abend über Windowsupdate und WSUS freigeschalten werden. Allerdings im Moment als Optionales Update. Im Moment zum Testen könnt Ihr sie über den Catalog importieren. Erst mit dem nächsten Patchday dann normal integriert.
Es braucht danach einen Restart.
Hier ist die neue Version im Defender jetzt (07:07Uhr, 24.09.2019) da.
Modulversion: 1.1.16400.2.
Die anderen Updates kommen nicht über MS-Update, sie sind im Update-Catalog und müssen Manuell installiert werden. (Steht so in den Artikel zu den Updates)
"Windows 7 SP1 für den IE 9 – 10"
Gibt es diese IE Versionen überhaupt noch für Win 7 ?
Mein Win 7 SP1 Ultimate x64 habe ich zum ersten Mal im Januar 2013 installiert.
In dem Zuge kam gleich die Aufforderung zum IE 11 installieren.
Außer einer Nennung in der Registry beim IE 11 finde ich keine weiteren Hinweise auf die Existenz von IE 9 oder 10 auf meinem Rechner.
nein IE 9 gibt es nur noch für 2008 (ohne R2)
und IE 10 nur noch für 2012 (ohne R2)
Wenn die IE Updates nur im Catalog verfügbar sind, kann es in dem Punkt normal ja nicht so dramatisch sein. Denn, wer von den Usern die wirklich wenig Ahnung von der Materie haben, schauen im Catalog vorbei oder wissen überhaupt, was das ist?!
Das Update für den Defender bzw. MSE ist gerade bei mir eingetroffen.
Der Beitrag richtet sich mehr an Admins im Unternehmensumfeld. Die sollten wissen, dass es die Schwachstelle gibt und reagieren.
Trotzdem ist es (für mich) unverständlich warum MS diese IE fixes nicht über Windows Update / WSUS rausrückt, zumal Dan Goodin bei Ars Technica MS zitiert, dass es aktive exploits gibt. Für LTSB/LTSC Nutzer spielt IE auch mit Windows 10 (leider) noch eine Rolle.
Das ist die hier: http://www.borncity.com/blog/2019/09/23/ex-microsoftler-erklrt-die-schlechte-windows-10-qualitt beschriebene neue Update-Strategie von MS:
• Erst wird die Sicherheitslücke öffentlich gemacht.
• Dann bekommen technisch versierte Anwenderkreise einen provisorischen Patch angeboten und dürfen Versuchskaninchen spielen.
• Sofern von denen nicht gravierende Bugs gemeldet werden, wird das Update – Wochen später – allgemein verteilt.
Da freut sich der viel zitierte nicht-authentifizierte Angreifer. Weil er eine Schwachstelle aufgezeigt bekommt, gegen die die meisten Rechner noch nicht gepatcht sind. Wenn er also schnell genug ist…
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2019-1367
Severity = Critical
Exploited = Yes
defender win8.1, Modulversion auf 1.1.16400.2 gehoben.
KB4522007 ist laut MS-KB aber bei Windows 7 und Windows Server 2008 R2 für den Internet Explorer 11!
Ich warte dennoch, bis es sicherlich irgendwann automatisch kommt, da ich den Rechner momentan ohnhin nicht neu starten kann. Allerdings steht nirgends, dass ein Neustart nötig sein wird. Hat KB4522007 schon jemand installiert und kann dazu etwas sagen?
Erfahrungsgemäß ist nach einem kumulativen Internet-Explorer-Update immer ein Neustart erforderlich. Das wird diesmal auch so sein.
Ja, ein Neustart ist erforderlich. Habe das Update KB4522007 für den IE 11 in Win 7 gerade eben manuell aus dem Update Katalog installiert.
Ja, habe es installiert und ein Neustart war fällig.
Zuvor wurde über die angeworfene Suche 1 Servicing Stack Update für Windows 7 für x64-basierte Systeme (KB4516655)
gefunden und installiert; ohne Neustart
Danke an Euch drei! Ich dachte es mir ja schon. Da ich den Internet Explorer aber nur auf bestimmten Seiten verwende, ist das Risiko doch sehr begrenzt. Da kann ich bis zum Patchday im Oktober warten.
Die Installation von KB4522016 (für 1903) funktioniert nicht.
Nach dem Start des Updates wird erst nach Updates gesucht, dann das Update ausgepackt und die Dateien kopiert.
Nach einiger Zeit erscheint die Fehlermeldung "Folgende Updates konnten nicht installiert werden: KB4522016."
Es wird aber kein Grund angegeben.
Nach einem Neustart ploppen kurz 3 oder 4 schwarze Fenster auf und nach ein paar Sekunden ein weiteres.
Offenbar waren das Updates, die das Windows-Update im Hintergrund installiert hatte, wodurch die manuelle Installation KB4522016 scheiterte, solange nicht neu gestartet wurde.
Nach dem Neustart funktioniert es dann.
Da stellt sich aber die Frage, warum der Installer nicht mal eine passende Fehlermeldung anzeigen kann, etwa "install pending" oder "Vorher bitte Neustarten".
Ich hatte das KB4522016 (1903) gestern aus dem Update-Catalog heruntergeladen und manuell installiert.
Lief alles ohne Probleme durch und die Version ist bei mir nun auf 18362.357.
Vor 1 Stunde habe ich für Windows 7 SP1 32 Bit KB4522007 aus dem Update
Catalog heruntergeladen und problemlos installiert. Das Update ist für den IE11.
Es wird auch im Internet Explorer 11 als installiert angezeigt.
Über Windows Update habe ich soeben 1.303.25.0 für MSE bekommen und
problemlos installiert. Das Volumen des Updates beträgt etwas über 22 MB.
Hallo,
musste das Update KB4522016 manuell in den Server 2019 WSUS Importieren
Habe diese Anleitungen genutzt:
borncity.com/blog/2018/06/08/lsung-updates-in-wsus-importieren/
https://p0w3rsh3ll.wordpress.com/2016/07/12/import-the-convenience-update-into-wsus/
Im WSUS ist das Update drin aber die Clients (Windows 10 1903) wollen es nicht?! Genehmigt ist es.
Wartet doch einfach mal den heutigen Abend ab!
Die Sicherheitslücke im IE ist sehr kritisch, wenn man mit Admin-Rechten eine Webseite ansurft, auf der die Lücke mittels Script ausgenutzt wird.
https://winfuture.de/news,111411.html
zum Nachsehen der Microsoft Security Essentials-Modulversion auf dem PC, würde ich eher wie hier beschrieben vorgehen: https://www.borncity.com/blog/2017/05/09/ms-malware-protection-engine-welche-version-habe-ich/
Ist also demnach dann doch keine eher harmlose Geschichte, wie ich erst gedacht hatte.
Aber ich werde das Update jetzt trotzdem nicht extra aus dem Catalog installieren. Das hat Zeit bis zum nächsten Patch Day. Da sollte das IE Update ja normal mit dabei sein.
Halte ich allerdings nur so, weil der IE von mir ohnehin zu 99% nicht genutzt wird.