Die wichtigsten Patches im Juni 2014 Patch-Management seit Heartbleed

OpenSSL hält die Schwachstellenprüfer noch immer in Atem, bis Ende des Jahres muss mit Updates gerechnet werden. Dem Patch-Management kommt aber nicht nur beim Schließen von Schwachstellen große Bedeutung zu, es ist auch eine wichtige Vorbeugungsmaßnahme gegen Hacker-Angriffe.

Anbieter zum Thema

SonicWall Germany

Arvato Systems

TXOne Networks

Qualys GmbH

Es ist eigentlich ein positiver Trend: Letztes Jahr wurden bis Anfang Juni 46 Schwachstellen in Microsoft Produkten gefunden, dieses Jahr sind es mit 36 etwas weniger. Insgesamt wurden Schwachstellen in bislang 100 Microsoft Produkten ausgemacht, was den bisherigen Eindruck konterkariert, der eher von großen Hacker-Angriffen, Zero-Day-Attacken und der großen Heartbleed Schwachstelle in OpenSSL geprägt war.

Der wichtigste Patch im Monat Juni 2014 ist der MS Internet Explorer (IE) Bulletin MS14-035. Er adressiert rekordverdächtige 59 Schwachstellen und stellt einen Fix für die Zero-Day CVE-2014-1770 in IE8 bereit. Die über den Patch geschlossenen Schwachstellen wurden nicht angegriffen und vor 2 1/2 Wochen mit dem Schwachstellen Broker ZDI geschlossen. Das Update wurde als kritisch eingestuft, weil die Schwachstellen die Ausführung von Remote Code Execution erlaubt. Der Angriffsvektor ist entweder eine Webseite mit Malware, eine bislang saubere Webseite, die gehackt wurde oder aber eine spezielle Webseite, die von Hackern zu einem beliebten Thema (Fußball-Weltmeisterschaft) programmiert wurde.

Der zweitwichtigste Patch stammt nicht von Microsoft, sondern von Adobe. Es gibt ein neues Update für den Flash Player, der besonders gerne von Hackern genutzt wird. Es wird dringend empfohlen, das Update mit dem Namen APSB14-16 zu installieren. Betroffen sind sowohl Windows, als auch Mac und Linux-Versionen. Google Chrome und IE10/11 Nutzer bekommen ihre Updates automatisch. Aus diesem Grund sollte auf diese beiden Browser gewechselt werden.

Als dritten Patch sollte das Microsoft Word Update MS14-034, das die Schwachstelle CVE-2014-2778 beinhaltet, ausgeführt werden. Im schlimmsten Fall können Angreifer Remote Code ausführen. Hacker sind inzwischen sehr routiniert darin, Nutzer dazu zu bringen, Dokumente zu öffnen. Die Word Schwachstelle ist in den neuen DOCX Formaten enthalten und gehört zur 2007er-Version. Neuere Versionen von Office/Word 2010 oder 2013 sind nicht betroffen.

Das letzte kritische Update ist das MS14-036, das ist die neue Version der Bibliothek GDI+. Betroffen sind Windows, Office und Lync IM Clients. Bislang gab es noch keine bekannt gewordenen Exploits, dennoch sollte es dringend ausgeführt werden.

Sicherheitslücken in OpenSSL

Darüber hinaus gibt es eine neue OpenSSL Version. Allerdings sind die nun gepatchten Schwachstellen nicht ganz so gefährlich wie Heartbleed. Nichts desto trotz geht die Prüfung von Heartbleed weiter, um beispielsweise Man-in-the-Middle-Angriffe zu verhindern.

Schwachstellen bei OpenSSL sind deshalb so gefährlich, weil sowohl Browser als auch Android OpenSSL nutzen, es sich also um eine weitverbreitete Anwendung handelt. Die Kommunikation zwischen dem Gerät und dem Webserver könnte ein potenzielles Ziel für Hacker sein.

Fakten und Hintergründe zur OpenSSL-Lücke

Gegenmaßnahmen zur Heartbleed-Sicherheitslücke für Admins

OpenSSL wird auch weiterhin im Fokus des Patch-Managements stehen. IT-Abteilungen werden mindestens bis Jahresende ihren Fokus auf die Schwachstellen in dieser Anwendung legen. Diese Bemühungen zeigen bereits Wirkung; zwei neue Schwachstellen in OpenSSL, die kritischste davon lässt eine Entschlüsselung der Machine-to-Machine Kommunikation zu, wenn beide OpenSSL nutzen, wurden entdeckt.

Für Windows XP Nutzer gilt, dass die Mehrheit aller hier aufgeführten Schwachstellen sie betrifft. Entweder sollten alle Updates schnell ausgeführt werden oder aber zu einer weiterhin von MS unterstützten Betriebssystem-Version aktualisiert werden.

Wolfgang Kandek: „Wenn man bedenkt wieviel Arbeit wir in Webbrowsern erledigen, sollten Patches dafür immer als erstes ausgerollt werden.“

Bei der Heartbleed Schwachstelle konnten Sicherheitsforscher herausfinden, dass sie mit ihren Scannern die Mehrzahl von IDS- und IPS-Systemen umgehen konnten. Patching Tools sind darüber hinaus gut dokumentiert.

Über den Autor

Wolfgang Kandek ist Chief Technical Officer bei Qualys.

(ID:42744502)