Zum Abschluss des Jahres 2023 präsentiert sich der letzte Microsoft Patchday vergleichsweise ruhig, dennoch stehen insgesamt 33 neue Updates zur Verfügung. Vier davon werden als kritisch eingestuft, mit CVE-Werten zwischen 8.1 und 9.6. Bisher sind keine der entdeckten Sicherheitslücken öffentlich bekannt, und es existieren derzeit auch keine bekannten Exploits. Dennoch ist es ratsam, die Updates umgehend zu installieren.
Neben den allgemeinen Updates für Windows und andere Produkte hat Microsoft zusätzlich neun Aktualisierungen für die Chromium-Engines veröffentlicht. Im gesamten Jahr 2023 hat Microsoft an allen Patchdays mehr als 900 Updates bereitgestellt.
Im Fokus des letzten Patchdays liegt die Schließung von vier kritischen Sicherheitslücken in sämtlichen Windows-Versionen. Bisher sind keine dieser Lücken öffentlich bekannt und unter Angriff, doch das kann sich rasch ändern und die Sicherheitslücken könnten zu Ransomware-Angriffen auf Netzwerke führen.
Die bedeutendste Lücke in diesem Monat betrifft alle aktuellen Windows-Versionen und trägt die Kennung CVE-2023-35628. Mit einem CVSS-Wert von 9.6 ermöglicht diese Lücke die Remote-Ausführung von Code über das Netzwerk. Auch Windows Server 2022 und Windows 11 Version 23H2 sind betroffen. Angreifer benötigen zur Ausführung keine Authentifizierung. Der Angriff erfolgt in der Regel über eine Phishing-E-Mail, die schädlichen Code enthält. Offenbar führt Outlook den Code bereits beim Empfangen aus. Es ist äußerst wahrscheinlich, dass Cyberkriminelle diese Lücke nutzen werden, um Ransomware-Angriffe durchzuführen. Daher sollte die Installation der Updates zeitnah erfolgen.
CVE-2023-36019: Microsoft Power Platform Connector Spoofing Vulnerability
Die als kritisch eingestufte Lücke CVE-2023-36019 weist einen CVSS-Wert von 9.6 auf und stellt die am höchsten bewertete Schwachstelle am Dezember-Patchday dar. Diese Schwachstelle tritt insbesondere auf Webservern auf. Wenn jedoch ein Client auf einen Link klickt, kann ein bösartiges Skript ausgeführt werden.
CVE-2023-35636: Lücke in allen Office-Versionen und Microsoft 365-Apps
Die Lücke CVE-2023-35636 betrifft sämtliche Office-Versionen, einschließlich der aktuellen Microsoft 365-Apps. Durch diese Sicherheitslücke können Angreifer die Anmeldedaten des Benutzers im Netzwerk auslesen und sich anschließend im restlichen Netzwerk bewegen. Solche Schwachstellen werden häufig ausgenutzt, um Code in Netzwerke einzuschleusen, beispielsweise für Ransomware-Angriffe.
CVE-2023-35641 und CVE-2023-35630: Internet Connection Sharing (ICS) Remote Code Execution Vulnerability
Die beiden kritischen Lücken, CVE-2023-35641 und CVE-2023-35630, betreffen alle Windows-Versionen und beziehen sich auf Internet Connection Sharing (ICS). Obwohl ICS nicht immer im Einsatz ist, sollten die entsprechenden Updates dennoch schnell installiert werden, um möglichen Missbrauch zu verhindern.