Die wichtigsten Patches im Juni 2014

Patch-Management seit Heartbleed

| Autor / Redakteur: Wolfgang Kandek / Peter Schmitz

Gutes Patch Management ist nach wie vor die einfachste und sicherlich beste Möglichkeit, Angriffen vorzubeugen. Ein leistungsfähiges Patch-Management-System hilft beim Automatisieren und hält den Patchday-Stress so geringer.
Gutes Patch Management ist nach wie vor die einfachste und sicherlich beste Möglichkeit, Angriffen vorzubeugen. Ein leistungsfähiges Patch-Management-System hilft beim Automatisieren und hält den Patchday-Stress so geringer. (Bild: Microsoft)

OpenSSL hält die Schwachstellenprüfer noch immer in Atem, bis Ende des Jahres muss mit Updates gerechnet werden. Dem Patch-Management kommt aber nicht nur beim Schließen von Schwachstellen große Bedeutung zu, es ist auch eine wichtige Vorbeugungsmaßnahme gegen Hacker-Angriffe.

Es ist eigentlich ein positiver Trend: Letztes Jahr wurden bis Anfang Juni 46 Schwachstellen in Microsoft Produkten gefunden, dieses Jahr sind es mit 36 etwas weniger. Insgesamt wurden Schwachstellen in bislang 100 Microsoft Produkten ausgemacht, was den bisherigen Eindruck konterkariert, der eher von großen Hacker-Angriffen, Zero-Day-Attacken und der großen Heartbleed Schwachstelle in OpenSSL geprägt war.

Der wichtigste Patch im Monat Juni 2014 ist der MS Internet Explorer (IE) Bulletin MS14-035. Er adressiert rekordverdächtige 59 Schwachstellen und stellt einen Fix für die Zero-Day CVE-2014-1770 in IE8 bereit. Die über den Patch geschlossenen Schwachstellen wurden nicht angegriffen und vor 2 1/2 Wochen mit dem Schwachstellen Broker ZDI geschlossen. Das Update wurde als kritisch eingestuft, weil die Schwachstellen die Ausführung von Remote Code Execution erlaubt. Der Angriffsvektor ist entweder eine Webseite mit Malware, eine bislang saubere Webseite, die gehackt wurde oder aber eine spezielle Webseite, die von Hackern zu einem beliebten Thema (Fußball-Weltmeisterschaft) programmiert wurde.

Der zweitwichtigste Patch stammt nicht von Microsoft, sondern von Adobe. Es gibt ein neues Update für den Flash Player, der besonders gerne von Hackern genutzt wird. Es wird dringend empfohlen, das Update mit dem Namen APSB14-16 zu installieren. Betroffen sind sowohl Windows, als auch Mac und Linux-Versionen. Google Chrome und IE10/11 Nutzer bekommen ihre Updates automatisch. Aus diesem Grund sollte auf diese beiden Browser gewechselt werden.

Als dritten Patch sollte das Microsoft Word Update MS14-034, das die Schwachstelle CVE-2014-2778 beinhaltet, ausgeführt werden. Im schlimmsten Fall können Angreifer Remote Code ausführen. Hacker sind inzwischen sehr routiniert darin, Nutzer dazu zu bringen, Dokumente zu öffnen. Die Word Schwachstelle ist in den neuen DOCX Formaten enthalten und gehört zur 2007er-Version. Neuere Versionen von Office/Word 2010 oder 2013 sind nicht betroffen.

Das letzte kritische Update ist das MS14-036, das ist die neue Version der Bibliothek GDI+. Betroffen sind Windows, Office und Lync IM Clients. Bislang gab es noch keine bekannt gewordenen Exploits, dennoch sollte es dringend ausgeführt werden.

Sicherheitslücken in OpenSSL

Darüber hinaus gibt es eine neue OpenSSL Version. Allerdings sind die nun gepatchten Schwachstellen nicht ganz so gefährlich wie Heartbleed. Nichts desto trotz geht die Prüfung von Heartbleed weiter, um beispielsweise Man-in-the-Middle-Angriffe zu verhindern.

Schwachstellen bei OpenSSL sind deshalb so gefährlich, weil sowohl Browser als auch Android OpenSSL nutzen, es sich also um eine weitverbreitete Anwendung handelt. Die Kommunikation zwischen dem Gerät und dem Webserver könnte ein potenzielles Ziel für Hacker sein.

Gegenmaßnahmen zur Heartbleed-Sicherheitslücke für Admins

Fakten und Hintergründe zur OpenSSL-Lücke

Gegenmaßnahmen zur Heartbleed-Sicherheitslücke für Admins

11.04.14 - In OpenSSL steckt eine kritische Sicherheitslücke, die Angreifern den Zugang zu sensiblen Daten ermöglicht. Security-Insider informiert über die Heartbleed-Lücke und zeigt Gegenmaßnahmen für Admins und Endanwender. lesen

OpenSSL wird auch weiterhin im Fokus des Patch-Managements stehen. IT-Abteilungen werden mindestens bis Jahresende ihren Fokus auf die Schwachstellen in dieser Anwendung legen. Diese Bemühungen zeigen bereits Wirkung; zwei neue Schwachstellen in OpenSSL, die kritischste davon lässt eine Entschlüsselung der Machine-to-Machine Kommunikation zu, wenn beide OpenSSL nutzen, wurden entdeckt.

Für Windows XP Nutzer gilt, dass die Mehrheit aller hier aufgeführten Schwachstellen sie betrifft. Entweder sollten alle Updates schnell ausgeführt werden oder aber zu einer weiterhin von MS unterstützten Betriebssystem-Version aktualisiert werden.

Wolfgang Kandek: „Wenn man bedenkt wieviel Arbeit wir in Webbrowsern erledigen, sollten Patches dafür immer als erstes ausgerollt werden.“
Wolfgang Kandek: „Wenn man bedenkt wieviel Arbeit wir in Webbrowsern erledigen, sollten Patches dafür immer als erstes ausgerollt werden.“ (Bild: Qualys)

Ein gutes Patch-Management ist nach wie vor die einfachste und sicherlich beste Möglichkeit, Angriffen vorzubeugen. Mit Patching lässt sich eine Schwachstelle komplett schließen, während andere Sicherheitslösungen darauf abzielen einen spezifischen Angriff zu neutralisieren.

Bei der Heartbleed Schwachstelle konnten Sicherheitsforscher herausfinden, dass sie mit ihren Scannern die Mehrzahl von IDS- und IPS-Systemen umgehen konnten. Patching Tools sind darüber hinaus gut dokumentiert.

Über den Autor

Wolfgang Kandek ist Chief Technical Officer bei Qualys.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 42744502 / Betriebssystem)