Sechs gravierende Sicherheitslücken im Juli geschlossen

Eingangstore für Ransomware-Angriffe schnell schließen 5 kritische Sicherheitslücken in Windows und Office patchen

19.07.2023 Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Am Patchday im Juli wurden sechs besonders gravierende Sicherheitslücken mit Updates geschlossen. Wir zeigen, wie Admins fünf davon schließen können. Die fünf Schwachstellen sind zum Teil öffentlich bekannt (CVE-2023-35311), es gibt bereits aktive Exploits dafür (CVE-2023-35311, CVE-2023-36874, CVE-2023-32046, CVE-2023-32049) oder das Update ist als kritisch eingestuft, mit einem CVSS von 9.8 (CVE-2023-32057).

Angesichts der stetig steigenden Gefahr von Ransomware-Angriffen, sollten die Sicherheitsuptades für fünf zum Juli-Patchday veröffentlichte Schwachstellen sehr schnell installiert werden.

(Logo: Microsoft)

Von den sechs zum Patchday im Juli gepatchten Schwachstellen haben wir zur CVE-2023-36884 bereits wichtige Sicherheitstipps veröffentlicht. In diesem Beitrag gehen wir auf die Sicherheitslücken CVE-2023-35311, CVE-2023-36874, CVE-2023-32046, CVE-2023-32049 und CVE-2023-32057 ein und zeigen, wie diese geschlossen werden.

Alle dieses Updates haben aber eines gemeinsam: Sie sollte so schnell wie möglich geschlossen werden, da sie Remotecode-Ausführung ermöglichen, Sicherheitsfilter umgehen oder andere Lücken eröffnen, die es Angreifern sehr einfach machen Ransomware oder andere Angreifer im Netzwerk zu implementieren. Der Lücke CVE-2023-36884 haben wir auf Grund der Schwere einen eigenen Beitrag gewidmet.

Bildergalerie

Aktuelle Version von Office überprüfen, um das Schließen von Schwachstellen zu schließen.(Bild: Microsoft - Joos)

Überprüfen der installierten Outlook-Version und des Patchstandes.(Bild: Microsoft - Joos)

Die Update-Funktion von Office-Programmen zeigt an, wenn eine Aktualisierung erfolgt ist.(Bild: Microsoft - Joos)

Office 2021 lässt sich automatisch und manuell aktualisieren.(Bild: Microsoft - Joos)

Bildergalerie mit 9 Bildern

Ransomware-Angriffe über Outlook bereits im Gange: CVE-2023-35311

Die meisten Ransomware-Angriffe erfolgen über Phishing, indem Anwender in E-Mails Links zu Phishing-Seiten anklicken, und Daten Preis geben, oder Daten aus dem PC ausgelesen werden. In vielen Fällen schützt Outlook Anwende, indem eine Warnung angezeigt wird. Nutzt ein Exploit diese Lücke aus, erscheint keine Warnung. In Kombination mit anderen Schwachstellen, zum Beispiel CVE-2023-36884 können Cyberkriminelle im Anschluss problemlos Ransomware oder andere Malware im Netzwerk installieren. Für beide Lücken gibt es aktuell bereits aktive Exploits. Darüber hinaus sind beide Lücken öffentlich bekannt. Wir haben in einem eigenen Beitrag behandelt, wie sich die Lücke CVE-2023-36884 schließen lässt.

Das Schließen der Lücke CVE-2023-35311 ist dabei eine weitere, sehr wichtige Aktion. Aus diesem Grund hat die Lücke auch einen CVSS von 8.8.

Die Lücke wird über die automatische Aktualisierung von Microsoft Office geschlossen, oder das Update muss manuell heruntergeladen und installiert werden. Am Beispiel von Microsoft Office 2021 LTSC ist die Aktualisierung daran zu sehen, dass auf der Registerkarte "Datei" bei "Office-Konto" über "Info zu Outlook" die Version 2306 und die Buildnummer 16529.20182 zu sehen ist. Diese umfasst auch das Update gegen diesen Angriff. Ist das nicht der Fall sollte über "Updateoptionen -> Jetzt aktualisieren" eine manuelle Aktualisierung durchgeführt werden. Wenn Outlook aktuell ist, ist das im Fenster zu sehen.

Wie man mit Windows Defender Application Control und Smart App Control Windows vor gefährlichen Dateien wie Ransomware schützt, zeigen wir in diesem Video-Tipp. (Bild: James Thew - stock.adobe.com)

Nochmal Ransomware-Gefahr für alle Windows-Versionen: CVE-2023-36874

Die Lücke CVE-2023-36874 stellt ebenfalls ein Einfallstor für Ransomware dar. Dieses Mal sind alle Windows-Versionen betroffen, auch Windows 11 Version 22H2 und Windows Server 2022. Für diese Lücke gibt es ebenfalls bereits Exploits, die in Umlauf sind. Mit einem CVSS von 7.8 ist auch diese Lücke recht dringend. Angreifer können über die Lücke in Verbindung mit Phishing ihre Rechte auf einem System erhöhen und damit erst komplette Computer, danach komplette Netzwerke übernehmen. Schlussendlich erhalten Angreifer durch die Lücke administrative Rechte auf dem System.

Dabei kommen häufig wieder Kombinationen von Angriffen auf andere Schwachstellen zum Einsatz. Um diese Lücke zu schließen, und auch gleich noch die Lücken CVE-2023-32046, CVE-2023-32049 und CVE-2023-32057 wird am besten das kumulative Update für die jeweilige Windows-Version installiert werden. Diese stellt Microsoft nicht nur direkt in Microsoft Update zur Verfügung, sondern auch über den Link der Schwachstellen für jede einzelne Windows-Version. Nach dem Download der MSU-Datei lässt sich diese manuell im Netzwerk verteilen, auch mit Skripten. Der Download für Windows 11 Version 22H2 lässt sich ebenfalls manuell durchführen. Das geht relativ einfach in der Befehlsteile mit dem Tool "wusa.exe". Am Beispiel von Windows 11 Version 22H2 erfolgt das mit:

wusa.exe C:\Updates windows11.0-kb5028185-x64_c78aa5899ba74efdd0e354dfab80940402b3efa4.msu

Als Pfad muss der richtige Pfad eingetragen werden. Danach startet die Installation und installiert das aktuelle, kumulative Update für die jeweilige Windows-Version. Das funktioniert auch komplett ohne Automatisierung mit Windows-Update. Nach der Installation ist in den meisten Fällen ein Neustart notwendig. Das zeigt der Installationsassistent an.

Noch mehr Exploits für Windows aufgetaucht: CVE-2023-32046 und CVE-2023-32049

Auch für die beiden Lücken CVE-2023-32046 und CVE-2023-32049 sind ebenfalls Exploits aufgetaucht. Mit der Lücke CVE-2023-32046 können Angreifer ihre Rechte für das System erhöhen, genauso wie bei CVE-2023-36874. Auf der anderen Seite schaltet das Ausnutzen der Lücke CVE-2023-32049 den SmartScreen-Filter in Windows aus, der vor Malware warnt. In Verbindung mit CVE-2023-35311 (siehe oben) können Angreifer komplette Systeme übernehmen und Ransomware nahezu ungehindert einschleusen, indem sie zum Beispiel das E-Mail-System ausnutzen. Dabei kann es sich um Exchange oder Exchange Online handeln, aber auch um andere Arten von Systemen. Nutzer erhalten in diesem Fall eine E-Mail mit einem Anhang. Öffnen die Nutzer die Datei, hebelt diese den lokalen Schutz von Windows aus und kann Ransomware im Netzwerk verteilen. Der Schutz erfolgt in Windows 10/11 über die Installation des aktuellen, kumulativen Updates. Dabei handelt es sich um das Gleiche, wie bei CVE-2023-36874 (aber nicht wie bei CVE-2023-35311).

Message Queuing Service patchen oder deinstallieren

Die Lücke CVE-2023-32057 nutzt den Message Queuing Service (MQS) aus, um Remotecode auf einem Computer auszuführen. Betroffen sind an dieser Stelle wieder alle Windows-Versionen, ebenfalls Windows 11 Version 22H2 und Windows Server 2022.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Das Schließen der Lücke erfolgt über das jeweilige, kumulative Update für das Betriebssystem, wie bei CVE-2023-36874, CVE-2023-32046 und CVE-2023-32049. Wer auf einem Computer den Message Queuing Service nicht benötigt, sollte ihn deaktivieren. Am Beispiel von Windows 10/11 erfolgt das über das ein- und ausschalten von optionalen Windows-Features.

Diese lassen sich durch Aufrufen von "optionalfeatures.exe" direkt aus dem Suchfeld des Startmenüs heraus starten. Hier sollte überprüft werden, ob "Microsoft Message Queue (MSMQ)-Server installiert ist. Wenn die Komponente nicht notwendig ist, macht es Sinn diese an dieser Stelle zu deinstallieren.

Auf Windows-Servern erfolgen Installation und Deinstallieren über den Server-Manager oder das Windows Admin Center bei den Features über den Bereich "Message Queuing". In der PowerShell lässt sich das Feature mit dem folgenden Befehl deinstallieren:

UnInstall-WindowsFeature MSMQ-Services

Ob das Feature installiert ist, lässt sich mit dem folgenden Befehl anzeigen:

Get-WindowsFeature MSMQ-Services

Microsoft Defender for Business bietet Schutz gegen Ransomware, Malware, Phishing und Cyberattacken aus der Cloud für KMU. (Bild: peterschreiber.media - stock.adobe.com)

(ID:49617649)