‍Jeden zweiten Dienstag im Monat werden von Microsoft, Adobe und SAP die neuesten Sicherheitsupdates veröffentlicht. Jegliche Software sollte jeweils auf die neueste Version aktualisiert und Sicherheitsupdates installiert werden. Denn die Angreifer sind auf zack und nutzen häufig neu bekanntgemachte Schwachstellen aus.

Microsoft

Das BSI meldete erneut akute Schwachstellen in Microsoft Exchange mit der IT-Bedrohungslage 2/Gelb (IT-Bedrohungslage mit verstärkter Beobachtung von Auffälligkeiten unter temporärer Beeinträchtigung des Regelbetriebs). Weitere vier als kritisch eingestufte Schwachstellen bieten Angreifern die Möglichkeit, Code aus der Ferne ausführen.

Die beiden Sicherheitslücken CVE-2021-28480 und -28481, wurden mit einem Wert von 9,8 bewertet. Durch diese hohe Bewertung von Microsoft können Sie davon ausgehen, dass sie irgendwann ausgenutzt werden und sollten Ihre Systeme sofort aktualisieren.

Eigene Darstellung

Insgesamt veröffentlichte Microsoft 114 CVEs die neben Microsoft Exchange Server Windows Edge, Azure und Azure DevOps Server, Office, SharePoint Server, Hyper-V, Team Foundation Server und Visual Studio betreffen. Laut der Zero Day Initiative ist das für das Jahr 2021 bis jetzt die größte Anzahl an CVEs, die von Microsoft veröffentlicht wurden. 19 sind als kritisch, 88 als wichtig und eine als mittelschwer eingestuft.

Die einzige als aktiv aufgelistete Sicherheitslücke ist CVE-2021-28310- Win32k Elevation of Privilege Vulnerability. Sie könnte Angreifern ermöglichen, Privilegien auf fremden Systemen zu erweitern. Vermutlich unter Verwendung von Malware und in Kombination mit z. B. einem Browser-Bug oder einem PDF-Exploit, mit anschließender Übernahme des Systems.

Alle CVEs stellen eine Angriffsfläche für Angreifer dar und sollten schnellstmöglich behoben werden. Microsoft stellt dafür alle Sicherheitsupdates im Security Update Guide bereit.

‍

Adobe

Adobe veröffentlichte diesen Monat Sicherheitsupdates für Photoshop, Digital Editions, Bridge und RoboHelp.

APSB21-28 betrifft Photoshop und ist als kritisch eingestuft. Angreifer können beliebigen Code im Kontext des aktuellen Benutzers ausführen.

APSB21-26 ist ebenfalls als kritisch eingestuft und betrifft Digital Editions. Wird sie nicht behoben, könnten beliebige Dateien in das System geschrieben werden.

APSB21-23 betrifft mehrere kritische und wichtige Sicherheitslücken für Bridge. Es könnte zur Ausführung beliebigen Codes im Kontext des aktuellen Benutzers kommen.

APSB21-20 ist ein Update für RoboHelp und verhindert eine Privilegienerweiterung durch Angreifer. Sie ist als wichtig eingestuft.

Die neuesten Informationen zu Produkt-Updates von Adobe gibt es auf helpx.adobe.com.

‍

SAP

Auch bei SAP ist ein Anstieg der Sicherheitshinweise zu beobachten:

Security Notes vs Priority Distribution (Quelle: SAP)

‍

SAP veröffentlicht im April 14 aktuelle und fünf Updates zu bereits veröffentlichten Sicherheitshinweisen.

Drei als Hot News gemeldete Hinweise betreffen die Produkte SAP Business Client, SAP Commerce und SAP NetWeaver AS JAVA.

Fünf als High eingestufte Sicherheitshinweise betreffen diese Produkte:

NetWeaver Master Data Management
Solution Manager
Missing Authorization check in SAP NetWeaver AS ABAP und SAP S4 HANA
NetWeaver AS for Java

Die ausführliche Liste aller Sicherheitshinweise, die im April von SAP veröffentlicht wurden, sind im Community Wiki einzusehen.

Markieren Sie sich schon jetzt den nächsten Patchday rot im Kalender: 11.05.2021. Bis dahin bleiben Sie sicher und gesund!

Max Mustermann

Patchday April