März 2021: Windows 10 erhält viele Sicherheitsupdates
Vor dem Patch Tuesday hat Microsoft eine Reihe von Sicherheitsupdates veröffentlicht, die nicht in der richtigen Reihenfolge vorliegen und vier Zero-Day-Sicherheitslücken in Exchange Server beheben
Der bevorstehende Patch-Dienstag sollte voll werden, da es heutzutage viele Sicherheitsnachrichten gibt.
Das Microsoft Security Incident Response Center hat bekannte Angriffe der Hafnium-Hackergruppe auf Microsoft Exchange-Server gemeldet. Bei ihren Angriffen nutzten die Angreifer vier Sicherheitslücken mit den Kennungen CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 und CVE-2021-27065 aus. Dies sind alles Sicherheitslücken bei der Remotecodeausführung mit einem CVSS v3-Basiswert von 7,8 bis 9,1. Laut Microsoft sind die Angriffe aktiv und die externen Zugriffsserver müssen so schnell wie möglich aktualisiert werden. Das Unternehmen hat außerdem mehrere PowerShell-Skripts vorbereitet, um festzustellen, ob ein Server kompromittiert wurde.
Die neuesten Sicherheitsupdates, die Microsoft zur Behebung dieser Sicherheitsanfälligkeiten entwickelt hat, sind nur für Exchange Server 2013 (CU23), Exchange Server 2016 (CU18 oder CU19) und Exchange Server 2019 (CU7 oder CU8) verfügbar. Sie müssen die neuesten kumulativen Updates installieren, bevor Sie die Hotfixes installieren. Aktualisierungen werden automatisch angewendet, wenn die Server neu gestartet werden müssen.
Darüber hinaus hat Microsoft ein separates Update für Exchange Server 2010 SP3 gemäß Defense in Depth veröffentlicht. Insbesondere ist Exchange Server 2010 für diesen bestimmten Angriff nicht anfällig. Microsoft hat jedoch beschlossen, mehrere verwandte Sicherheitsanfälligkeiten in diesem Produkt zu beheben. Exchange Online ist von diesen Sicherheitsanfälligkeiten nicht betroffen. Die nächsten kumulativen Updates, die im März für alle drei betroffenen Versionen von Exchange Server veröffentlicht werden, enthalten die erforderlichen Sicherheitsupdates.
Zur Erinnerung: Microsoft hat im Februar relativ wenige Sicherheitslücken behoben. Wir sind es gewohnt, dass das Unternehmen regelmäßig 50 oder mehr Sicherheitslücken in Windows 10 behebt, aber im Februar waren es nur 28. In diesen außergewöhnlichen Updates hat Redmond bereits vier Zero-Day-Sicherheitslücken behoben. Schauen wir uns nun an, welche Updates wir können Erwarten Sie diese Woche:
Eine große Anzahl von Schwachstellenbehebungen wird im März unter Windows 10 und anderen unterstützten Windows-Betriebssystemen sowie auf Office-, Microsoft 365- und SharePoint-Servern erwartet. Mehrere Monate sind ohne Internet Explorer-Updates vergangen, daher ist die Wahrscheinlichkeit ihrer Veröffentlichung hoch. Microsoft hatte zuvor angekündigt, Service Stack-Updates (SSUs) in das kumulative Windows 10-Update aufzunehmen.
Adobe hat im vergangenen Monat Sicherheitsupdates für viele seiner Produkte veröffentlicht. Dieses Mal hat das Unternehmen keine vorläufigen Ankündigungen gemacht, sodass Sie keine größeren Updates erwarten sollten.
Apple veröffentlicht regelmäßig Sicherheits- und Leistungsupdates für macOS Big Sur, aber wir haben nie die Patches für iTunes gesehen, die voraussichtlich letzten Monat veröffentlicht werden. Diesmal sind die Chancen noch höher.
Google veröffentlicht eine Woche vor den Dienstag-Patches Sicherheitsupdates. Letzte Woche wurde Chrome für Windows, Mac und Linux auf die Version 89.0.4389.72 aktualisiert, die 47 Sicherheitskorrekturen enthält. Dann wurde eine andere Version, 89.0.4389.82, veröffentlicht. Diese Woche wird kein weiteres Update erwartet.
Am 23. Februar veröffentlichte Mozilla eine Reihe kleinerer Sicherheitsupdates für Firefox, Firefox ESR und Thunderbird. Ein größeres Sicherheitsupdate kommt diese Woche.
Wenn Sie Microsoft Exchange Server-Produkte verwenden, müssen Sie die verfügbaren Sicherheitsupdates erneut so schnell wie möglich installieren, um den Schutz zu gewährleisten.