Liebes Linux-Magazin-Team,

bitte beachten Sie die Informationen zu den verfügbaren Sicherheitsupdates
in der folgenden Sicherheitsmeldung.

Historie:

Version 1 (12.12.18):
Neues Advisory

Zwei Schwachstellen in den Windows-Komponenten Domain Name System (DNS)
Server und Text-to-Speech ermöglichen einem entfernten, nicht
authentisierten Angreifer die Ausführung beliebigen Programmcodes mit
erweiterten Privilegien und dadurch die vollständige Kompromittierung
betroffener Systeme. Mehrere weitere Schwachstellen in den Windows-
Komponenten Connected User Experiences and Telemetry Service, Diagnostics
Hub Standard Collector Service, DirectX, Remote Procedure Call Runtime,
Win32k, Windows Graphics Device Interface (GDI), Windows Kernel und Windows
selbst ermöglichen zumeist einem lokalen, einfach authentifizierten
Angreifer ebenfalls die komplette Kompromittierung betroffener Systeme, die
Eskalation von Privilegien, das Ausspähen von Informationen und verschiedene
Denial-of-Service-Angriffe mit Hilfe speziell präparierter Anwendungen, die
lokal installiert und ausgeführt werden müssen. Eine weitere Schwachstelle
in Windows Azure Pack kann von einem entfernten, einfach authentifizierten
Angreifer für einen Cross-Site-Scripting-Angriff ausgenutzt werden.

Die Schwachstelle CVE-2018-8626 (Windows DNS Server) steht diesen Monat
besonders im Fokus, da für eine erfolgreiche Ausnutzung keinerlei
Interaktion eines Benutzers von Windows notwendig ist. Aktiv ausgenutzt wird
Herstellerangaben zufolge bisher nur CVE-2018-8611 (Windows Kernel). Darüber
hinaus erwartet Microsoft aber die baldige aktive Ausnutzung weiterer
Schwachstellen.

Es stehen Sicherheitsupdates zur Behebung der Schwachstellen zur Verfügung.
Diese können im Microsoft Security Update Guide über die Kategorie ‘Windows’
identifiziert werden. Die Sicherheitsupdates sollten zeitnah eingespielt
werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Schwachstellenarchiv unter:
[https://adv-archiv.dfn-cert.de/adv/2018-2520]

Mit freundlichen Grüßen,
Ihr DFN-CERT Incident Response Team

—
(c) DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen ist auf den Ursprung in
angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für die DFN-CERT
Webseite. https://www.dfn-cert.de/impressum.html