Oktober ist jedes Jahr ein spannender Monat. Nicht nur auf Halloween können wir uns freuen, sondern auch auf den jährlich stattfindenden European Cyber Security Month (ECSM), veranstaltet von BSI (Bundesamt für Sicherheit in der Informationstechnik) und ENISA (European Union Agency for Cybersecurity). Ziele des ECSM sind die Sensibilisierung und Aufklärung von Bürger:innen sowie Organisationen für den umsichtigen und verantwortungsbewussten Umgang im Cyber-Raum.

Wir beschäftigen uns dieses Jahr im Rahmen des ECSM mit der Endpoint Security. Unter dem Titel Ying und Yang - Home-Office und Endpoint Security im Einklang möchten wir dieses Thema näher beleuchten. Ein Teil der Endpoint Security ist das Patchmanagement, welches unerlässlich ist, um die Sicherheit der Systeme und aller Endgeräte von Unternehmen zu gewährleisten. Das regelmäßige Einspielen von Updates und schließen möglicher Sicherheitslücken minimiert die Möglichkeiten für Angreifer, Systeme zu infiltrieren.

Der monatliche Patchday sollte also bei allen IT-Administrator:innen als Regeltermin im Kalender eingetragen sein! Schauen wir uns die Schwachstellen an, die im Oktober von Adobe, SAP und Microsoft veröffentlicht wurden.

Microsoft

71 CVEs wurden von Microsoft im Okober gemeldet für Windows 10 und 11, Microsoft Edge (Chromium-based), Exchange Server, .NET Core and Visual Studio, Microsoft Office Services and Web Apps, SharePoint Server, Microsoft Dynamics, InTune, System Center Operations Manager und diverse Windows Komponenten. Von diesen sind zwei als kritisch, 68 als wichtig und einer als wenig schwerwiegend eingestuft. Von den veröffentlichten Patches wurden drei als öffentlich bekannt eingestuft und einer gilt als zum Zeitpunkt der Veröffentlichung als aktiv angegriffen.

CVE-2021-40449 - Win32k Elevation of Privilege Vulnerability. Diese Schwachstelle gilt als aktiv angegriffen und der Patch korrigiert einen Kernel-Fehler. Diese Art von Fehlern wird in der Regel in Verbindung mit Codeausführungsfehlern verwendet, um ein System übernehmen zu können. Zero Day Initiative weist darauf hin, dass dieser Fehler evtl. für einen gezielten Malware-Angriff verwendet wurde und in den nächsten Tagen weitere Informationen folgen werden.
CVE-2021-26427 - Microsoft Exchange Server Remote Code Execution Vulnerability. Dieser Sicherheitsfehler wurde von der NSA (National Security Agency) gemeldet und gilt als aktiv angegriffen. Ein möglicher Angriff dieser Schwachstelle ist auf der Protokollebene auf eine logisch benachbarte Topologie beschränkt und kann nicht über das Internet durchgeführt werden. Über ein angrenzendes Netzwerk versuchen Angreifer Änderungen auf dem Exchange-Zielserver vorzunehmen.

Öffentlich bekannt sind folgende CVEs:

CVE-2021-41338 - Windows AppContainer Firewall Rules Security Feature Bypass Vulnerability. Angreifer könnten diese Schwachstelle ausnutzen, um lokal über die Tastatur oder aus der Ferne über SSH auf das Zielsystem zuzugreifen. Eine weitere Möglichkeit wäre darauf zu hoffen, dass Benutzer:innen ein bösartiges Dokument ausführen. Daraufhin kann es zur Offenlegung von Informationen kommen, was unmittelbare und schwerwiegende Auswirkungen hätte.
CVE-2021-40469 - Windows DNS Server Remote Code Execution Vulnerability. Diese Schwachstelle gilt als "aus der Ferne ausnutzbar", da sie über das gesamte Internet ausgenutzt werden kann, z. B. auf Protokolleben oder durch mehere Netzsprünge. Ein Angreifer kann bei einem erfolgreichen Angriff administrative Rechte erlangen.
CVE-2021-41335 - Windows Kernel Elevation of Privilege Vulnerability. Hier gilt die gleiche Bewertung wie bei CVE-2021-41338.

Nötige Informationen zu alles Sicherheitslücken sowie deren Updates stellt Microsoft zur Verfügung.

Adobe

Adobe veröffentlichte im Oktober 10 Schwachstellen in den Programmen Adobe Acrobat und Reader, Acrobat Reader für Android, Adobe Campaign Standard, Commerce, Ops-CLI und Adobe Connect. Zum Zeitpunkt der Veröffentlichung galt keiner der von Adobe gemeldeten Patches als öffentlich bekannt oder wurde aktiv angegriffen.

APSB21-104: Die Sicherheitsupdates für Adobe Acrobat und Reader beheben gleich mehrere kritische und mittelschwere Sicherheitslücken. Angreifer können bei erfolgreicher Ausnutzung beliebigen Code im Kontext des aktuellen Benutzers ausführen.
Die Schwachstelle CVE-2021-40724 betrifft Acrobat Reader für Android und wurde mit einem hohen Risiko eingestuft. Bei erfolgreicher Ausnutzung können Informationen im Zusammenhang mit dem aktuellen Benutzer offengelegt werden.

Eine Übersicht über alle Sicherheitsschwachstellen stellt Adobe zur Verfügung.

SAP

Im Oktober veröffentlichte SAP 13 Sicherheitshinweise und ein Update.

Das Sicherheitsupdate für Googel Chromium wurde bereits im April veröffentlicht und mit dem Schweregrad 10 als HotNews bewertet. Security updates for the browser control Google Chromium delivered with SAP Business Client Product – SAP Business Client, Version – 6.5

Zwei weitere neu veröffentlichte Sicherheitshinweise wurden als HotNews eingestuft:

Potential XML External Entity Injection Vulnerability in SAP Environmental Compliance Related CVEs - CVE-2020-10683, CVE-2021-23926 Product - SAP Environmental Compliance, Version - 3.0. XXE Angriffe können bei erfolgreicher Ausnutzung Port-Scanning ermöglichen und zur Ausführung von Remote-Code führen.
[CVE-2021-38178] Improper Authorization in SAP NetWeaver AS ABAP and ABAP Platform Product - SAP NetWeaver AS ABAP and ABAP Platform, Versions - 700, 701, 702, 710, 730, 731, 740, 750, 751, 752, 753, 754, 755, 756. Bei Ausnutzung dieser Schwachstelle, kann Vertraulichkeit, Integrität und Verfügbarkeit des Systems und der Daten gefährdet werden.

Informationen über alle Patches stellt SAP zur Verfügung.

Quelle: Security Notes vs Priority Distribution (May – October 2021), SAP

Patchday Oktober 2021