ION Advisory: Mai 2024 Update 

Die Microsoft Mai 2024 Patch Tuesday Update besteht aus 67 Patches für Microsoft-Produkte. Allerdings wird nur 1 dieser Sicherheitslücken als kritisch eingestuft, 2 davon werden aktiv ausgenutzt.

Kritische Schwachstellen

• CVE-2024-30044 - Microsoft SharePoint Server Sicherheitslücke bei der Remotecodeausführung

Diese Remote Code Execution (RCE) betrifft den Microsoft Sharepoint Server. Ein authentifizierter Angreifer mit Site Owner-Berechtigungen oder höher könnte eine speziell gestaltete Datei auf den betroffenen Sharepoint Server hochladen und spezielle API-Anforderungen erstellen, um die Deserialisierung der Dateiparameter auszulösen. Dies würde es dem Angreifer ermöglichen, Remotecodeausführung im Kontext des Sharepoint-Servers durchzuführen.

Betroffene Versionen

• Microsoft SharePoint Enterprise Server 2016 - betroffen ab 16.0.0 vor 16.0.5448.1000
• Microsoft SharePoint Server 2019 - betroffen ab 16.0.0 vor 16.0.10409.20047
• Microsoft SharePoint Server Subscription Edition - betroffen ab 16.0.0 vor 16.0.17328.20292

Öffentlich bekannt gemacht und aktiv ausgenutzt

• CVE-2024-30051 - Windows DWM Core Library Sicherheitsanfälligkeit durch Erhöhung der Berechtigung (Elevation of Privilege)

Microsoft erklärte: “Ein Angreifer, der diese Schwachstelle erfolgreich ausnutzt, könnte SYSTEM-Rechte erlangen”. Um diese Schwachstelle auszunutzen, ist lokaler Zugriff erforderlich. In Verbindung mit einem Fehler bei der Code-Ausführung für den Erstzugriff kann dies jedoch zu einer vollständigen Übernahme eines Ziels und einer seitlichen Bewegung führen - ein üblicher Weg, der von Ransomware-Akteuren genutzt wird. Kürzlich veröffentlichten Kaspersky-Forscher eine Blog in dem beschrieben wird, wie Bedrohungsgruppen die Schwachstelle seit April über Qakbot Malware-Phishing-Angriffe. Die Phishing-E-Mails enthielten ein bösartiges Dokument, das ein Skript zur Ausnutzung der Schwachstelle ausführte.

• CVE-2024-30040 - Sicherheitslücke in der Windows MSHTML-Plattform durch Umgehung von Sicherheitsfunktionen

Diese Sicherheitsanfälligkeit umgeht die OLE-Abschwächungsmaßnahmen in Microsoft 365 und Microsoft Office, die Benutzer vor anfälligen COM/OLE-Steuerelementen schützen. Diese Sicherheitsanfälligkeit erfordert eine gewisse Interaktion zwischen Benutzer und Opfer, um erfolgreich zu sein. Dies wird wahrscheinlich in Form einer Phishing-E-Mail oder einer Sofortnachricht (z. B. Teams) geschehen, bei der der Benutzer davon überzeugt werden muss, ein bösartiges Dokument zu öffnen, woraufhin der Angreifer beliebigen Code im Kontext des Benutzers ausführen kann.

Erwähnenswert

• CVE-2024-32002 - Rekursive Klone auf case-insensitive Dateisystemen, die Symlinks unterstützen, sind anfällig für Remote Code Execution

Die MinGit-Software, die von Microsoft Visual Studio verwendet wird, weist einen Fehler auf, der durch eine unsachgemäße Beschränkung eines Pfadnamens auf ein eingeschränktes Verzeichnis (‘Path Traversal’) verursacht wird, wodurch sie für Remote Code Execution anfällig ist. Diese Schwachstelle wird im Security Update Guide dokumentiert, um bekannt zu geben, dass die neuesten Builds von Visual Studio nicht mehr anfällig sind.

Gegenmaßnahmen und Patches

• Anwendung von Patches so schnell wie möglich, nach entsprechenden Tests

Referenzen

Sans Report: https://isc.sans.edu/diary/Microsoft+May+2024+Patch+Tuesday/30920/