Der Oktober steht ganz im Zeichen des European Cyber Security Month, so die Ivanti-Analyse des Patch Tuesday. Das ist ein guter Zeitpunkt für Unternehmen, die eigene Sicherheitsstrategie zu überprüfen: Inwieweit sind die IT- und IT-Security-Teams in der Lage, sich auf die wichtigsten Aspekte der allgemeinen Cyberhygiene zu konzentrieren.
Das Schwachstellenmanagement spielt hierbei immer eine besonderes Rolle. Seit nunmehr 18 Jahren bündelt Microsoft den Release neuer Patches am Patch Tuesday und hilft Firmen dabei, Tests und Wartungsfenster zu konsolidieren und Sicherheitslücken in gängiger Software planbarer zu beheben.
Patching: Andere Anforderungen an die IT-Teams
Patch Tuesday im Oktober: es gibt wieder einige wichtige Schwachstellen (Bild: Ivanti).
Allerdings haben sich die Anforderungen an die IT-Teams in punkto Patching in den letzten Jahren gewandelt: Zunehmend kämpfen sie damit, eine IT-Umgebung zu sichern, die mit Softwareprodukten außerhalb von Microsoft & Co. gefüllt ist und die zugleich mit ganz unterschiedlichen Versions- und Releasezyklen arbeiten. Nicht zuletzt daher beklagen 71 Prozent aller Sicherheitsspezialisten, dass das Schwachstellemanagement zu zeitaufwändig und zu komplex ist – so eine aktuelle Studie von Ivanti. Das Resultat: Patching rückt zunehmend vor anderen Aufgaben in den Hintergrund, wie 62 % der Studienteilnehmer angaben. Weitere Ergebnisse der Studie stehen zum Download bereit.
Bewertung des Patch Tuesday im Oktober
In diesem Monat hat Microsoft Updates veröffentlicht, die insgesamt 74 neue Sicherheitslücken (CVEs) und zwei wiederveröffentlichte CVEs schließen. Darunter sind vier öffentlich bekannt gegebene Schwachstellen und ein Zero-Day (CVE-2021-40449). Drei der 76 CVEs in diesem Monat stuft Microsoft als kritisch ein. Die Updates in diesem Monat betreffen Windows-Betriebssysteme, Office 365, Exchange Server, Intune, System Center, .Net Core & Visual Studio sowie eine Reihe von Rollen in AD, ADFS, Hyper-V und DNS.
Bei CVE-2021-40449 handelt es sich um eine Win32k-Schwachstelle (Elevation of Privilege) im Windows-Betriebssystem, angefangen von Windows 7 und Server 2008 bis hin zu Windows 11 und Server 2022. Microsoft stuft diese Sicherheitslücke von seinem Schweregradsystem her nur als wichtig ein. Dies ist ein gutes Beispiel dafür, warum sich Unternehmen bei der Behebung von Sicherheitslücken vor allem auf das Thema „Risiko“ konzentrieren sollten. Ein risikobasierter Ansatz für das Schwachstellenmanagement berücksichtigt realistischere Indikatoren, wie beispielsweise bekannt gewordene Schwachstellen, Offenlegungen und Trends in der Ausnutzung von Schwachstellen durch die Bedrohungsakteure. Ziel dieses Ansatzes ist es, besser zu verstehen, auf welche Schwachstellen sich die Teams zuerst und rasch konzentrieren sollten.
Microsoft schließt weitere Schwachstellen
Microsoft hat daneben die Sicherheitslücke CVE-2021-41338 in der Windows AppContainer Firewall behoben, mit der Sicherheitsfunktionen umgangen werden können. Die Schwachstelle wurde öffentlich bekannt gegeben, einschließlich eines Proof-of-Concept-Codes. Dieser ermöglicht es Bedrohungsakteuren, einen Exploit zu entwickeln. Die Sicherheitslücke besteht in Windows 10, Server 2016 und späteren Versionen.
CVE-2021-41335 wiederum ist eine Schwachstelle im Windows-Kernel, die eine Erhöhung der Berechtigungen erlaubt. Die Schwachstelle besteht in den Versionen Windows 7 bis Windows 10 und Server 2008 bis Server 2019. Die CVE wurde öffentlich bekannt gegeben, einschließlich eines Proof-of-Concept-Codes. Microsoft hat ebenfalls CVE-2021-40469 behoben, eine Sicherheitslücke für Remotecodeausführung in Windows DNS. Die Sicherheitslücke betrifft nur Server, die als DNS-Server konfiguriert sind, und gilt für Server 2008 bis Server 2022. Die Schwachstelle wurde öffentlich bekannt gemacht – ebenfalls inklusive eines Proof-of-Concept-Code.
Nachbesserungen im Oktober
Mit CVE-2021-33781 hat Microsoft eine Schwachstelle behoben, die eine Umgehung von Sicherheitsfunktionen in Azure AD erlaubt. Ursprünglich wurde diese Lücke bereits mit der Patch Tuesday im Juli behoben. Mit dem Update wurden nun weitere betroffene Versionen von Windows 10 (1607) Server 2016 und Windows 11 hinzugefügt.
Adobe hat wiederum sechs Updates veröffentlicht, darunter eines für Acrobat und Reader, Connect, Reader Mobile, Commerce, Campaign Standard und ops-cli. Die Updates für Adobe Connect (APSB21-91) und ops-cli (APSB21-88) enthalten kritische CVEs mit einem CVSS Base Score von 9,8 von 10. APSB21-104 für Adobe Acrobat und Reader behebt die meisten CVEs der Reihe nach. Insgesamt wurden in diesem Update vier Sicherheitslücken behoben, von denen zwei als kritisch mit einem CVSS-Wert von 7,8 eingestuft wurden.
Adobe, FoxIT, Google und mehr
FoxIt PDF hat Updates für seine Windows- und MacOS-Editionen veröffentlicht, die viele Schwachstellen adressieren. Sieben CVEs und eine Reihe von IDs wurden identifiziert und behoben. Es handelt sich dabei um Lücken, die von der Trend Zero Day Initiative und in der China National Vulnerability Database genannt werden. Weitere Einzelheiten finden Unternehmen auf der Seite mit den Updates für Foxit PDF Editor.
Für Google Chrome gab es seit dem Patch Tuesday im September insgesamt vier Veröffentlichungen, die insgesamt 25 CVEs gelöst haben. Oracle wiederum veröffentlicht seine vierteljährliche CPU erst am 19. Oktober. IT-Teams sollten sich zu diesem Termin die Updates für Java, Oracle DB, Middleware und weitere Produkte von Oracle genauer ansehen.