Microsoft schließt über 100 Sicherheitslücken

Microsoft Patchday April 2020 Microsoft schließt über 100 Sicherheitslücken

15.04.2020 Von Thomas Joos

Anbieter zum Thema

Zum Patchday im April 2020 schließt Microsoft 113 Sicherheitslücken, darunter 17 Lücken, die als kritisch eingestuft wurden. Betroffen ist unter anderem der DNS-Client-Dienst in Windows, also auch Active Directory.

Beim Patchday im April 2020 hat Microsoft wichtige Security-Updates und Bugfixes für Windows 10 und Windows Server veröffentlicht und sichert DNS und Windows Token Security.
(Logo: Microsoft)

Der Patchday im April schließt insgesamt 113 Sicherheitslücken. Davon sind 17 als kritische eingestuft, die restlichen sind als „wichtig“ eingestuft. Bei den Lücken werden bereits einige aktiv von Angreifern genutzt. Aktualisiert werden nahezu alle Bereiche in Windows. Aktuell ist ein Trend zu bemerken, dass Microsoft in diesem Jahr deutlich mehr Patches veröffentlicht als letztes Jahr.

Neben Windows, werden auch Aktualisierungen für SharePoint und Microsoft Dynamics Business Central veröffentlicht. Auch diese Lücken werden als „wichtig“ eingestuft und sollten daher durch die Updates geschlossen werden.

Nach einer Neuinstallation von Windows 10 kann die Installation der nötigen Updates zu einem Geduldsspiel werden. Aber mit den richtigen Tools klappt es schnell und einfach. (Igor - stock.adobe.com)

Sicherheitslücke in Windows 7 und Windows Server 2008/2008 R2 wird geschlossen

Microsoft veröffentlicht auch Updates, um Lücken im „Adobe Font Manager Library“ (CVE 2020-1020 zu schließen. Davon profitieren allerdings nur Anwender, die eine Lizenz für den erweiterten Support von Windows 7 und Windows Server 2008/2008 R2 abgeschlossen haben. Wenn die Anwender eine kompromittierte Schriftart installieren, kann der Angreifer Code mit Benutzerrechten auf dem System ausführen.

Die Lücke wird derzeit aktiv genutzt, sodass die Updates für CVE-2020-0938 und CVE-2020-0993 in Windows 7 und Windows Server 2008/2008 R2 installiert werden sollten.

Auch Windows 10 ist betroffen, allerdings weniger stark. Wird hier der Code des Angreifers ausgeführt, dann nicht mit den Rechten des Benutzers, sondern in einer AppContainer-Sandbox. Diese Vorgehensweise gibt es in Windows 7 nicht.

WSUS Tipps & Tricks

In dieser Video-Tipp-Serie zu WSUS geben wir Tipps zur Installation, zu Optimierungen, Fehlerbehebungen und zur Update-Verteilung. Mit den Pfeiltasten (← / →) oder den Schaltflächen oben können Sie durch die Sammlung navigieren.

<p style="line-height: 1.5"><big>WSUS Video-Tipp - Teil 1</big><br> <a href="https://www.security-insider.de/wsus-grundlagen-fuer-admins-a-691109/" target="_blank" style="color:white"><big><big><strong>WSUS-Grundlagen für Admins</strong></big></big></a><br> Die Installation von Windows-Updates oder Patches für Microsoft-Produkte möchten Administratoren selten ganz dem Anwendern überlassen. Will man die Updates effizient, zur passenden Zeit und ohne extreme Auslastung der eigenen Internetleitung im Netzwerk verteilen, kommt man um Windows Server Update Services (WSUS) nicht herum. Im ersten Teil der WSUS-Video-Tipp-Serie zeigen wir die wichtigsten Grundlagen für Installation und Einsatz von WSUS. <a href="https://www.security-insider.de/wsus-grundlagen-fuer-admins-a-691109/" target="_blank">>>> Zum Artikel <<<</a></p>

<p style="line-height: 1.5"><big>WSUS Video-Tipp - Teil 2</big><br> <a href="https://www.security-insider.de/wsus-tipps-zu-optimierung-troubleshooting-und-scripting-a-695862/" target="_blank" style="color:white"><big><big><strong>WSUS-Tipps zu Optimierung, Troubleshooting und Scripting</strong></big></big></a><br> Sobald die WSUS-Serverrolle installiert und eingerichtet ist, müssen in der Verwaltungskonsole einige Einrichtungen vorgenommen werden. Sind auch diese abgeschlossen, sind häufig noch Optimierungen und Fehlerbehebungen notwendig. Die wichtigsten Tipps und Schritte zeigen wir im zweiten Teil der WSUS-Video-Tipp-Serie. <a href="https://www.security-insider.de/wsus-tipps-zu-optimierung-troubleshooting-und-scripting-a-695862/" target="_blank">>>> Zum Artikel <<<</a></p>

<p style="line-height: 1.5"><big>WSUS Video-Tipp - Teil 3</big><br> <a href="https://www.security-insider.de/wsus-tipps-zur-verwaltung-und-freigabe-von-updates-a-703207/" target="_blank" style="color:white"><big><big><strong>WSUS-Tipps zur Verwaltung und Freigabe von Updates</strong></big></big></a><br> WSUS kann Aktualisierungen für Microsoft-Produkte herunterladen, lokal speichern und an die angebundenen Server und Arbeitsstationen weitergeben, ohne dass dafür zusätzliche Downloads stattfinden müssen. Im dritten Teil der WSUS-Video-Tipp-Serie zeigen wir, wie Admins die Verteilung und Freigabe der Updates auch zentral vom Server aus steuern können. <a href="https://www.security-insider.de/wsus-tipps-zur-verwaltung-und-freigabe-von-updates-a-703207/" target="_blank">>>> Zum Artikel <<<</a></p>

Bildergalerie mit 6 Bildern

Sicherheitslücke in DNS wird geschlossen

Die Lücke CVE-2020-0981 betrifft den Windows-DNS-Client-Dienst. Es ist also nicht der DNS-Server von Windows-Servern betroffen. Das bedeutet aber auch, dass der DNS-Client-DNS auf Windows-Servern und auf Windows-Arbeitsstationen gleichzeitig angegriffen werden kann. Durch die Schwachstelle können Angreifer auf Windows einen Denial of Service-Angriff starten. Die Lücke wird als wichtig eingestuft. Die Lücke gibt es auf allen Windows-Versionen, bis hin zu Windows 10, Windows Server 2019 und Windows Server 1909.

Lücke in Windows 10 Version 1903

In Windows 10 Version 1903 gibt es eine Lücke, mit der ein Angreifer eine kompromittierte Anwendung in eine höhere Sicherheitsebene heben kann. Dadurch kann die Anwendung aus ihrem Sandkasten ausbrechen. Die Lücke CVE-2020-0981 wird als „wichtig“ eingestuft.

33 Security-Tipps für Windows 10

Bildergalerie mit 35 Bildern

(ID:46510581)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Stand vom 30.10.2020

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.