Wer die letzten Tage nicht in einer abgeschlossenen Höhle verbracht hat, hat von der kürzlich bekannt gewordenen Schwachstelle in der Java-Schwachstelle "log4j" gehört. Und natürlich dominiert auch diese Schwachstelle den Patchday. Aber es gab auch weitere Anpassungen. Hier der Überblick:

‍

CVE-2021-44228: LOG4SHELL (LOG4J)

Betroffene Produkte werden immer noch identifiziert und reichen von Webdiensten wie Apache Struts über Spiele wie Minecraft bis hin zu Bank- und Finanzanwendungen. Wenn Sie einen Server betreiben, der auf Open-Source-Software basiert, besteht eine gute Chance, dass Sie von dieser Sicherheitsanfälligkeit betroffen sind. Trend Micro hat diesen Blog veröffentlicht, der den Fehler detailliert beschreibt und IOCs und Anleitungen zur Erkennung von Angriffen bereitstellt. Bisher sehen wir aktive Exploits, die Mirai-Varianten und Kinsing-Coin-Miner auf betroffenen Servern ablegen.

Wir können Ihnen dabei helfen betroffene Schwachstellen zu identifizieren und zu schließen. Melden Sie sich gerne bei uns!

Microsoft

Von den heute gepatchten CVEs werden sieben als kritisch und 60 als wichtig eingestuft. Insgesamt 10 dieser Fehler kamen durch das ZDI-Programm. Fünf dieser Fehler werden als öffentlich bekannt aufgeführt, und einer wird zum Zeitpunkt der Veröffentlichung als öffentlich ausgenutzt aufgeführt.

CVE-2021-43890- Windows AppX Installer Dieser Patch behebt einen Fehler im AppX-Installationsprogramm, der Windows betrifft. Microsoft gibt an, dass sie den Fehler in Malware in der Emotet / Trickbot / Bazaloader-Familie gesehen haben. Ein Angreifer müsste einen bösartigen Anhang erstellen, der in Phishing-Kampagnen verwendet werden soll. Der Angreifer müsste dann den Benutzer dazu verleiten, die speziell gestaltete Anlage zu öffnen.
CVE-2021-43890- Windows AppX Installer Dieser Patch behebt einen Fehler im AppX-Installationsprogramm, der Windows betrifft. Microsoft gibt an, dass sie den Fehler in Malware in der Emotet / Trickbot / Bazaloader-Familie gesehen haben. Ein Angreifer müsste einen bösartigen Anhang erstellen, der in Phishing-Kampagnen verwendet werden soll. Der Angreifer müsste dann den Benutzer dazu verleiten, die speziell gestaltete Anlage zu öffnen.

Eine Auflistung aller Patches inklusive entsprechender Downloads stellt Microsoft bereit.

Adobe

Für Dezember veröffentlichte Adobe 11 Patches für 60 CVEs in Adobe Audition, Lightroom, Media Encoder, Premiere Pro, Prelude, Dimension, After Effects, Photoshop, Connect, Experience Manager und Premiere Rush.

SAP

Update zur Security Note am Patch Day: Sicherheitsupdates für die Browsersteuerung Google Chrome mit SAP Business Client Produkt ausgeliefert – SAP Business Client, Version – 6.5 - wird als kritisch eingestuft.
CVE-2021-44231Code Injection-Schwachstelle in SAP ABAP Server & ABAP Platform (Translation Tools) Produkt - SAP ABAP Server & ABAP Platform (Translation Tools), Versionen - 701, 740.750.751.752.753.754.755.756.804 - als Hot news eingestuft.
[CVE-2021-42064]SQL Injection-Schwachstelle in SAP Commerce Product - SAP Commerce, Versionen - 1905, 2005, 2105, 2011 - Security-Warnstufe: Hoch.

Nächster Patchday am 11.01.22. Bis dahin bleiben Sie sicher und gesund und kommen Sie gut ins neue Jahr!

Anonym

Patchday Dezember 2021