Januar-2019-Update: Microsoft schließt kritische Exchange- und DHCP-Lücke
Microsoft hat sein erstes Update-Paket im Jahr 2019(öffnet im neuen Fenster) für seine vielen verschiedenen Dienste und Angebote veröffentlicht. Damit schließt der Hersteller wie immer teils sehr kritische Sicherheitslücken. Dazu gehört diesmal eine Lücke ( CVE-2019-0547(öffnet im neuen Fenster) ) im DHCP-Client von Windows Server und Windows 10 in Version 1803, die auf einen Speicherfehler zurückzuführen ist und den extrem hohen CVSS-Wert 9.8 erhalten hat. Angreifern ist es damit möglich, über ein bösartiges DHCP-Response-Paket beliebigen Code auf dem Rechner der Opfer auszuführen. Diese Lücke hat Microsofts internes Sicherheitsteam gefunden(öffnet im neuen Fenster) .
Eine ebenfalls sehr gravierende Sicherheitslücke ( CVE-2019-0586(öffnet im neuen Fenster) ), die Microsoft nun geschlossen hat, betrifft den Exchange Server 2016 und 2019. Über eine speziell erstellte E-Mail kann demnach der Server durch Angreifer komplett übernommen werden, um Code mit Rechten des System-Benutzers auszuführen. Angreifer könnten so Programme installieren, Daten ansehen, verändern oder löschen sowie neue Accounts erstellen. Auch hierbei handelt es sich um einen Fehler beim Umgang mit dem Speicher. Microsoft selbst bewertet die Lücke nicht als kritisch, sondern nur als wichtig.
Zwei sehr ähnliche Sicherheitslücken ( CVE-2019-0550(öffnet im neuen Fenster) , CVE-2019-0551(öffnet im neuen Fenster) ) in allen Halbjahresupdates von Windows 10 seit Version 1607 sowie Windows Server 2016 und 2019 ermöglichen einen Hyper-V-Ausbruch aus virtualisierten Gastsystemen und das Ausführen von Code auf dem Hostsystem. Die Sicherheitslücke in Skype für Android , die es ermöglicht, die PIN-Sperre des Geräts zu umgehen, wird inzwischen mit der Nummer CVE-2019-0622(öffnet im neuen Fenster) geführt. Das Gefährdungspotenzial beschreibt Microsoft als moderat, wohl weil Angreifer physischen Zugriff auf das Gerät benötigen.
Ebenfalls zum Ausführen von Code eignet sich eine Sicherheitslücke ( CVE-2019-0579(öffnet im neuen Fenster) ) in der Jet Database Engine. Dabei soll es sich um die einzige derzeit komplett offengelegte Lücke handeln, die mit dem aktuellen Update geschlossen wird. Weitere Updates betreffen mehrere Sicherheitslücken(öffnet im neuen Fenster) im Internet Explorer, Microsoft Edge und den Javascript-Engine Chakra Core, Lücken in unterschiedlichen Windows-Komponenten und den Office-Anwendungen sowie Fehler und Lücken im .Net Framework und ASP.Net.