Update: Sicherheitslücken in Windows und Unrar werden ausgenutzt
Die für Cybersicherheit zuständige US-Behörde Cisa warnt vor zwei Sicherheitslücken, die nachweislich aktiv ausgenutzt werden. Eine davon betrifft Windows, die andere Unrar.
Bei der Sicherheitslücke in Windows handelt es sich laut dem Onlinemagazin Bleepingcomputer(öffnet im neuen Fenster) um eine bereits mehr als zwei Jahre alte Zero Day im Windows Support Diagnostic Tool (MSDT), für den ein Exploit-Code öffentlich zugänglich ist.
Das Problem wurde demnach bereits im Januar 2020 durch den Forscher Imre Rad gemeldet, allerdings wurde sein Bericht fälschlicherweise nicht als Beschreibung eines Sicherheitsproblems eingestuft und entsprechend als Sicherheitslücke zurückgewiesen.
Erst als der Sicherheitsforscher j00sean dieses Jahr erneut auf das Problem (CVE-2022-34713) aufmerksam machte, erstellte Microsoft einen Patch, der im Rahmen der Sicherheitsupdates vom August 2022 verteilt wurde. Betroffen sind demnach Windows 7, 10 und 11 sowie Windows Server 2008 bis 2022.
Updates beheben Sicherheitslücken
Die Sicherheitslücke ermöglicht es Angreifern, eine ausführbare Datei im Windows-Startordner zu platzieren. Dazu müssten sie ihre Opfer beispielsweise mittels Social Engineering dazu bringen, einen präparierten E-Mail-Anhang zu öffnen, wie Microsoft in einem kürzlich veröffentlichten Sicherheitshinweis(öffnet im neuen Fenster) schreibt.
"In einem webbasierten Angriffsszenario kann ein Angreifer eine Webseite einrichten (oder eine manipulierte Webseite nutzen, die von Nutzern bereitgestellte Inhalte akzeptiert oder hostet), die eine speziell gestaltete Datei enthält, über die diese Sicherheitsanfälligkeit ausgenutzt werden kann," schreibt Microsoft.
Cisa warnt zudem vor einer Sicherheitslücke (CVE-2022-30333) in Unrar, einem Tool, mit dem unter Linux Rar-Archive entpackt werden können. Bei der Schwachstelle handelt es sich um einen Path Traversal. Mit diesem kann der Zielordner der zu entpackenden Datei geändert werden. So lassen sich beispielsweise Dateien überschreiben. Cisa erwartet von den US-Bundesbehörden, dass sie die Sicherheitslücken in ihren Systemen bis zum 30. August durch das Einspielen von Updates beheben.