‍

Und schon wieder sind vier Wochen um. Jeden zweiten Dienstag im Monat veröffentlichen Microsoft, Adobe und SAP die neuesten Sicherheitsupdates. Die folgenden Punkte können Ihr Patch-Management unterstützen.

Behalten Sie den Überblick
Nutzen Sie automatische Updates
Hinweise auf Updates beachten
Listen Sie die Programme auf, bei denen Sie manuell Updates einspielen müssen
Informieren Sie sich regelmäßig bei den Herstellern über Updates
Reagieren Sie möglichst schnell auf Schwachstellen
Holen Sie sich die Updates nur von seriösen Webseiten
Achten Sie auf Ankündigungen über das Auslaufen von Produkten

Einen ausführlichen Leitfaden zum Patch-Management stellt der BSI zur Verfügung.

Microsoft

Im Juni veröffentlichte Microsoft Patches für 50 CVEs, von denen fünf als kritisch und 45 als wichtig eingestuft wurden. Sechs werden als derzeit aktiv aufgeführt:

CVE-2021-33742 Windows MSHTML Platform Remote Code Execution Vulnerability - Durch das Aufrufen präparierter Webinhalte könnten Angreifer Code auf dem Zielsystem ausführen. Da diese Schwachstelle alle unterstützten Windows-Versionen betrifft, wird empfohlen, sofort zu testen und wenn nötig zu patchen.
CVE-2021-33739 Microsoft DWM Core Library Elevation of Privilege Vulnerability -Angreifer könnten versuchen, z.B. durch einen Phishing-Angriff Zugriff auf die Systeme zu erlangen, um so Eskalationen von Privilegien zu verursachen.
CVE-2021-31199 und CVE-2021-31201 Microsoft Enhanced Cryptographic Provider Elevation of Privilege Vulnerability – Hier gibt es einen Zusammenhang zu einem Adobe-Reader-Fehler, der im Mai als aktiv galt (CVE-2021-28550). Die Sicherheitsupdates aus Juni sollten unbedingt installiert werden, um vor den drei Sicherheitslücken geschützt zu sein.
CVE-2021-31955 Windows Kernel Information Disclosure Vulnerability – Durch das Ausnutzen dieser Schwachstelle könnten Angreifer den Inhalt des Kernelspeichers von einem Prozess im Benutzermodus lesen.
CVE-2021-31956 Windows NTFS Elevation of Privilege Vulnerability – Laut der Zero Day Initiative handelt es sich um einen Fehler zur Offenlegung von Informationen. Es besteht die Möglichkeit, dass dieser Fehler mit CVE-2021-31955 in Verbindung steht, um durch die Verwendung eines Speicherlecks die Adresse zu erhalten, die für die Eskalation von Privilegien benötigt wird.

Natürlich haben die sechs als aktiv aufgeführten CVEs höchste Priorität im Testen und Einspielen der Patches, doch dürfen auch die restlichen 44 nicht weniger beachtet werden. Die benötigten Sicherheitsupdates finden Sie im Microsoft Security Guide.

‍

Adobe

Adobe veröffentlichte im Juni 39 CVEs. Mehrere Sicherheitsupdates, die Acrobat und Reader betreffen, sind als kritisch oder wichtig eingestuft. Adobe warnt davor, dass CVE-2021-28550 in begrenztem Umfang in Angriffen auf Adobe Reader-Anwender unter Windows ausgenutzt wurde und dass diese Schwachstelle weiterhin unter Beobachtung durch Angreifer steht.

Weitere Patches wurden die folgenden Programme gemeldet:

Adobe Connect, Photoshop Elements und Premiere Elements: Eine erfolgreiche Ausnutzung könnte zu einer Privilegienerweiterung im Kontext des Browers des Opfers führen.
Photoshop, Creative Cloud Desktop Application, RoboHelp Server, After Effects und Animate: Eine erfolgreiche Ausnutzung kann zur Ausführung von beliebigem Code im Kontext des aktuellen Benutzers führen.
Experience Manager: Eine erfolgreiche Ausnutzung kann zur Ausführung von beliebigem JavaScript im Browser führen

In diesem Monat galt keine der von Adobe veröffentlichten Schwachstellen zum Zeitpunkt der Veröffentlichung als öffentlich bekannt oder unter aktivem Angriff. Eine ausführliche Übersicht über die Sicherheitsupdates und die entsprechenden Updates stellt das Adobe Product Security Incident Response Team (PSIRT) zur Verfügung.

‍

SAP

Quelle: Security Notes vs Priority Distribution (Januar – Juni 2021)

‍

Nach dem Abfall der Security Notes im Mai liegt im Juni ein Anstieg vor. SAP veröffentlichte insgesamt 19 Sicherheitshinweise, davon wurden zwei als „Hot News“ und vier als „High“ eingestuft.

‍

„Hot News“

CVE-2021-27602SAP Commerce, Versions
CVE-2021-27610SAP NetWeaver AS ABAP and ABAP Platform

„High“

CVE-2021-27635SAP NetWeaver AS for JAVA
Mehrere CVEs - CVE-2021-27606, CVE-2021-27629, CVE-2021-27630, CVE-2021-27631, CVE-2021-27632SAP NetWeaver AS for ABAP (RFC Gateway)
Mehrere CVEs - CVE-2021-27597, CVE-2021-27633, CVE-2021-27634SAP NetWeaver ABAP Server and ABAP Platform (Enqueue Server
Mehrere CVEs - CVE-2021-27607, CVE-2021-27628SAP NetWeaver ABAP Server and ABAP Platform (Dispatcher)

Weitere Informationen zu den als „Medium“ eingestuften CVEs sowie der Links zu den entsprechenden Patches stellt SAP bereit.

Patchday Juni