mad.de
LifeTime Premium
- Registriert
- Juni 2018
- Beiträge
- 4.292
Außerplanmäßige, über den Microsoft Store verteilte Updates beseitigen zwei aus der Ferne ausnutzbare Sicherheitslücken in der Windows Codecs Library.
Microsoft hat außer der Reihe Sicherheitsupdates für mehrere Windows 10- und Windows Server-Versionen veröffentlicht, die zwei als kritisch eingestufte Sicherheitslücken aus der Windows Codecs Library beseitigen. Angreifer könnten die Lücken missbrauchen, um aus der Ferne beliebigen Code auszuführen (Remote Code Execution, RCE) oder um Informationen abzugreifen, die weitergehenden Zugriff auf kompromittierte Systeme ermöglichen.
Die Updates in Gestalt aktualisierter Windows Media Codecs werden automatisch über den Microsoft Store an verwundbare Systeme verteilt. Laut Microsoft müssen Nutzer im Normalfall keinerlei Aktion ausführen. Sofern automatische Updates für die betreffenden Systeme zuvor unterbunden wurden, muss allerdings manuell nachgeholfen werden. Hierbei hilft eine (Video-)Anleitung im Microsoft-Support-Bereich.
Präparierte Bilddateien als Einbruchswerkzeug
Microsoft hat zwei Security Advisories veröffentlicht, die die jeweils verwundbaren Windows-Versionen und ein paar Details zu den RCE-Sicherheitslücken nennen. Demnach basieren CVE-2020-1425 und CVE-2020-1457 auf der Art und Weise, wie die Windows Codecs-Bibliothek mit Objekten im Speicher umgeht. Um die Lücken auszunutzen, müsste ein potenzieller Angreifer ein Programm auf dem verwundbaren System zur Ausführung einer speziell präparierten Bilddatei bewegen.
Update 02.07.2020
Aktualisierte Advisories zu Remote-Lücken: Windows Server doch nicht betroffen
Microsoft hat Hinweise zu Lücken in der Windows Codecs Library vom vergangenen Dienstag überarbeitet und die potenziell betroffenen Systeme stark eingegrenzt.
In zwei Security Advisories hatte Microsoft am vergangenen Dienstag vor Sicherheitslücken in der Windows-Codecs-Bibliothek gewarnt, die Angreifer unter anderem zur Remote Code Execution (RCE) ausnutzen könnten. CVE-2020-1425 und CVE-2020-1457 beträfen, so schrieb das Unternehmen in der ursprünglichen Fassung der Sicherheitshinweise, sowohl Windows 10 als auch mehrere Server-Versionen.
Mit Korrekturen und Ergänzungen der Texte revidierte Microsoft diese Aussage jetzt teilweise: Windows Server sei ausdrücklich nicht von den Lücken betroffen und benötige somit auch keine Updates. Und auch die in den Advisories aufgeführten Windows-10-Versionen seien nur unter bestimmten Voraussetzungen verwundbar.
Nur Systeme mit optionalen HEVC Codecs verwundbar
In einem aktualisierten "FAQ"-Abschnitt in den Advisories erklärt Redmond nun auch, warum statt der üblichen Update-Kanäle (Windows Update, WSUS etc.) diesmal der Microsoft Store für die automatische Update-Verteilung gewählt wurde.
Die angegebenen Windows 10-Versionen seien nämlich gar nicht in der Default-Konfiguration verwundbar, sondern nur dann, wenn Nutzer zuvor aktiv die optionalen HEVC oder "HEVC from Device Manufacturer" Media Codecs aus dem Microsoft Store installiert hätten. Und optionale Apps und Komponenten wiederum würden ihre Updates typischerweise aus dem Microsoft Store beziehen.
Diese zuvor fehlende Information grenzt die Zahl der verwundbaren Systeme noch einmal stark ein. Ein Leser merkte in diesem Zusammenhang gegenüber der heise-Security-Redaktion an, dass man die betreffenden Media Codecs über den Business-Store theoretisch wohl auch an Server verteilen könne, was in der Praxis aber wohl ein eher unwahrscheinliches Szenario sei. Microsoft jedenfalls erwähnt diese Konstellation in seinen Advisories nicht.
Update-Informationen für betroffene Systeme
Für die tatsächlich betroffenen Windows-10-Nutzer, die die optionalen Codecs nutzen, gelten weiterhin die Informationen aus unserer ursprünglichen Meldung zu den Remote-Lücken sowie jene aus den aktualisierten Advisories:
Microsoft hat außer der Reihe Sicherheitsupdates für mehrere Windows 10- und Windows Server-Versionen veröffentlicht, die zwei als kritisch eingestufte Sicherheitslücken aus der Windows Codecs Library beseitigen. Angreifer könnten die Lücken missbrauchen, um aus der Ferne beliebigen Code auszuführen (Remote Code Execution, RCE) oder um Informationen abzugreifen, die weitergehenden Zugriff auf kompromittierte Systeme ermöglichen.
Die Updates in Gestalt aktualisierter Windows Media Codecs werden automatisch über den Microsoft Store an verwundbare Systeme verteilt. Laut Microsoft müssen Nutzer im Normalfall keinerlei Aktion ausführen. Sofern automatische Updates für die betreffenden Systeme zuvor unterbunden wurden, muss allerdings manuell nachgeholfen werden. Hierbei hilft eine (Video-)Anleitung im Microsoft-Support-Bereich.
Präparierte Bilddateien als Einbruchswerkzeug
Microsoft hat zwei Security Advisories veröffentlicht, die die jeweils verwundbaren Windows-Versionen und ein paar Details zu den RCE-Sicherheitslücken nennen. Demnach basieren CVE-2020-1425 und CVE-2020-1457 auf der Art und Weise, wie die Windows Codecs-Bibliothek mit Objekten im Speicher umgeht. Um die Lücken auszunutzen, müsste ein potenzieller Angreifer ein Programm auf dem verwundbaren System zur Ausführung einer speziell präparierten Bilddatei bewegen.
- CVE-2020-1425 Windows Codecs Library Remote Code Execution
- CVE-2020-1457 Windows Codecs Library Remote Code Execution
Update 02.07.2020
Aktualisierte Advisories zu Remote-Lücken: Windows Server doch nicht betroffen
Microsoft hat Hinweise zu Lücken in der Windows Codecs Library vom vergangenen Dienstag überarbeitet und die potenziell betroffenen Systeme stark eingegrenzt.
In zwei Security Advisories hatte Microsoft am vergangenen Dienstag vor Sicherheitslücken in der Windows-Codecs-Bibliothek gewarnt, die Angreifer unter anderem zur Remote Code Execution (RCE) ausnutzen könnten. CVE-2020-1425 und CVE-2020-1457 beträfen, so schrieb das Unternehmen in der ursprünglichen Fassung der Sicherheitshinweise, sowohl Windows 10 als auch mehrere Server-Versionen.
Mit Korrekturen und Ergänzungen der Texte revidierte Microsoft diese Aussage jetzt teilweise: Windows Server sei ausdrücklich nicht von den Lücken betroffen und benötige somit auch keine Updates. Und auch die in den Advisories aufgeführten Windows-10-Versionen seien nur unter bestimmten Voraussetzungen verwundbar.
Nur Systeme mit optionalen HEVC Codecs verwundbar
In einem aktualisierten "FAQ"-Abschnitt in den Advisories erklärt Redmond nun auch, warum statt der üblichen Update-Kanäle (Windows Update, WSUS etc.) diesmal der Microsoft Store für die automatische Update-Verteilung gewählt wurde.
Die angegebenen Windows 10-Versionen seien nämlich gar nicht in der Default-Konfiguration verwundbar, sondern nur dann, wenn Nutzer zuvor aktiv die optionalen HEVC oder "HEVC from Device Manufacturer" Media Codecs aus dem Microsoft Store installiert hätten. Und optionale Apps und Komponenten wiederum würden ihre Updates typischerweise aus dem Microsoft Store beziehen.
Diese zuvor fehlende Information grenzt die Zahl der verwundbaren Systeme noch einmal stark ein. Ein Leser merkte in diesem Zusammenhang gegenüber der heise-Security-Redaktion an, dass man die betreffenden Media Codecs über den Business-Store theoretisch wohl auch an Server verteilen könne, was in der Praxis aber wohl ein eher unwahrscheinliches Szenario sei. Microsoft jedenfalls erwähnt diese Konstellation in seinen Advisories nicht.
Update-Informationen für betroffene Systeme
Für die tatsächlich betroffenen Windows-10-Nutzer, die die optionalen Codecs nutzen, gelten weiterhin die Informationen aus unserer ursprünglichen Meldung zu den Remote-Lücken sowie jene aus den aktualisierten Advisories:
- CVE-2020-1425 Windows Codecs Library Remote Code Execution
- CVE-2020-1457 Windows Codecs Library Remote Code Execution
Zuletzt bearbeitet von einem Moderator:
