Mit dem Patch Tuesday-Update dieses Monats hat Microsoft 130 Sicherheitslücken behoben, zwei Sicherheitshinweise herausgegeben und vier wichtige CVE-Korrekturen integriert. Außerdem müssen wir für Windows vier Zero-Days verwalten (CVE-2023-32046, CVE-2023-32049, CVE-2023-36874 Und CVE-2023-36884), wodurch die Windows-Plattform in ein „Patch Now“-Programm eingebunden wird.
Da wir keine Adobe-, Exchange- oder Browser-Updates haben, sollte es diesen Monat einfacher sein, sich auf das Testen von Microsoft Office und Windows zu konzentrieren. Lesen Sie sich das unbedingt sorgfältig durch Sturm 0978 da es praktische und spezifische Anleitungen zum Umgang mit der schwerwiegenden HTML-Sicherheitslücke in Microsoft Office bietet (CVE-2022-38023).
Er Vorbereitung Team hat sich entwickelt diese nützliche Infografik um die mit den einzelnen Aktualisierungen verbundenen Risiken zu erläutern.
Bekannte Probleme
Jeden Monat listet Microsoft bekannte Probleme im Zusammenhang mit dem Betriebssystem und den Plattformen auf, die im neuesten Update-Zyklus enthalten sind.
- Nachdem Sie dieses Update auf virtuellen Gastmaschinen (VMs) installiert haben, auf denen Windows Server 2022 auf einigen Versionen von VMware ESXi ausgeführt wird, startet Windows Server 2022 möglicherweise nicht. Betroffen sind nur virtuelle Windows Server 2022-Maschinen mit aktiviertem sicheren Start. Microsoft und VMware untersuchen das Problem und werden weitere Informationen bereitstellen, sobald diese verfügbar sind.
- Bei Verwendung von Bereitstellungspaketen in Windows 11 funktioniert Version 22H2 möglicherweise nicht wie erwartet. Windows ist möglicherweise nur teilweise konfiguriert und das sofort einsatzbereite Erlebnis wird möglicherweise nicht unerwartet beendet oder neu gestartet.
Wichtige Überarbeitungen
Microsoft hat zwei wichtige Hotfixes veröffentlicht:
- CVE-2022-37967– Windows Kerberos Sicherheitslücke bezüglich der Erhöhung von Berechtigungen (4. Update). Dieses Update entfernt die Möglichkeit, den Wert 1 für festzulegen KrbtgtFullPacSignature Unterschlüssel und aktivieren Sie den Compliance-Modus (Standard) (KrbtgtFullPacSignature = 3), der von einem Administrator mit expliziten Überwachungseinstellungen überschrieben werden kann. Wenn Sie das Update dieses Monats anwenden, sind keine weiteren Maßnahmen erforderlich.
- CVE-2022-38023: Netlogon RPC Sicherheitslücke bezüglich der Erhöhung von Berechtigungen. Die (vorherigen) Updates vom April 2023 entfernen die Möglichkeit, die RPC-Versiegelung zu deaktivieren Legen Sie im RequireSeal-Registrierungsunterschlüssel den Wert 0 fest.
Abhilfemaßnahmen und alternative Lösungen
Microsoft hat für diese Version die folgenden Schwachstellen-bezogenen Abhilfemaßnahmen veröffentlicht:
- CVE-2023-32038– Sicherheitslücke im Microsoft ODBC-Treiber zur Remotecodeausführung. Microsoft empfiehlt, dass diese Sicherheitsanfälligkeit nicht ausgenutzt werden kann, wenn Sie nur eine Verbindung zu bekannten, vertrauenswürdigen Servern herstellen und keine Möglichkeit besteht, bestehende Verbindungen neu zu konfigurieren, um auf einen anderen Standort zu verweisen.
- CVE-2023-36884: Schwachstelle bezüglich Remotecodeausführung in Office und Windows HTML (einer der Zero-Day-Exploits dieses Zyklus). Microsoft weist darauf hin, dass, wenn Sie verwenden Microsoft-Verteidiger du bist beschützt. Den zynischeren, abgestumpfteren oder erfahreneren Profis empfehlen wir, den Beitrag von Threat Intelligence (sorgfältig) zu lesen (Sturm-0978).
- CVE-2023-35367, CVE-2023-35366 Und CVE-2023-35365: Windows-Routing- und RAS-Dienst (RRAS) Sicherheitslücke zur Remotecodeausführung. Wenn Sie Microsoft Routing and Remote Access Services (RRAS) nicht verwenden (und nicht installiert haben), sind Sie für diesen Exploit nicht anfällig.
Testanleitung
Jeden Monat stellt das Bereitschaftsteam detaillierte und umsetzbare Testanleitungen für die neuesten Updates bereit. Dieser Leitfaden basiert auf der Bewertung eines großen Portfolios von Anwendungen und einer detaillierten Analyse von Microsoft-Patches und ihren möglichen Auswirkungen auf Windows-Plattformen und Anwendungsinstallationen.
Wenn Sie interne Web- oder Anwendungsserver verwendet haben, ist es einen Versuch wert HTTP3-Protokoll – insbesondere mit Microsoft Edge. Zusätzlich zu diesem Update zur Protokollverarbeitung hat Microsoft eine erhebliche Anzahl von Änderungen und Aktualisierungen am Netzwerkstapel vorgenommen, die die folgenden Tests erforderten:
- Testen Sie Ihr RRAS Router mit UDPPingback und Traceroute beim Hinzufügen und Löschen von Routing-Tabelleneinträgen.
- Stellen Sie sicher, dass sich Ihre Domänenserver wie erwartet verhalten Vollständiger Compliance-Modus aktiviert.
Angesichts der großen Anzahl von Änderungen auf Systemebene in diesem Monat habe ich die Testszenarien in Standard- und Hochrisikoprofile unterteilt.
Hohes Risiko
Da dieses Update Korrekturen für vier (manche sagen fünf) Zero-Day-Schwachstellen enthält, haben wir diesen Monat zwei Haupttreiber für Veränderungen: wichtige Funktionsänderungen in Kernsystemen und die dringende Notwendigkeit, Updates bereitzustellen. Microsoft hat dokumentiert, dass zwei Hauptbereiche mit erheblichen Funktionsänderungen aktualisiert wurden, darunter Drucken und der lokale Netzwerkstapel (mit Schwerpunkt auf Routing). Daher sollten vor der allgemeinen Umsetzung folgende Tests einbezogen werden:
- Drucken: Überprüfen Sie Ihre lokalen Drucker, da die Handhabung wichtiger Treiber aktualisiert wurde.
- Stellen Sie sicher, dass Ihr DNS-Serverzonen Funktioniert nach diesem Update immer noch wie erwartet
Standardrisiko
Die folgenden Änderungen wurden diesen Monat aufgenommen und nicht als risikoreich eingestuft (mit unerwarteten Ergebnissen) und beinhalten keine funktionalen Änderungen.
- Windows Hello muss getestet werden, um Active Directory (sowie Azure AD) Single-Sign-On (SSO) zu integrieren.
- Testen Sie Ihre Remote-Desktop-Verbindungen (RDP) mit und ohne RD Gateway von Microsoft und stellen Sie sicher, dass die korrekte Stufe der Zertifikatwarnungen angezeigt wird (oder nicht, wenn diese bereits ignoriert wurden).
- (Für IT-Administratoren) Testen Sie Ihre Windows-Fehlerprotokolle (Schwerpunkt auf Dienstabstürze) mit einem CRUDE-Test (Create/Read/Update/Delete/Extend).
- Testen Sie Ihr Verschlüsselung und kryptografische Konfiguration Szenarien. Insbesondere Kerberos auf Ihren Domänencontrollern und Schlüsselisolierung.
- Testen Sie Ihre Backups. Diesmal müssen Sie sich keine Sorgen um Ihre Wiederherstellungsmedien machen.
Alle diese Testszenarien erfordern vor der allgemeinen Bereitstellung umfangreiche Tests auf Anwendungsebene. Angesichts der Änderungen, die in den Patches dieses Monats enthalten sind, empfiehlt das Readiness-Team, dass die folgenden Tests vor der allgemeinen Bereitstellung durchgeführt werden:
- Installieren, aktualisieren und deinstallieren Sie Ihre wichtigsten Geschäftsanwendungen.
- Überprüfen Sie Ihre (lokalen) Druckertreiber.
- Validieren Sie Ihre VBScripts und UI-Automatisierungstools (da OLE diesen Monat aktualisiert wurde, siehe CComClassFactorySingleton).
- Versuchen Sie es mit Audio-/Video-Streaming und dann mit Microsoft Teams (aufgrund der Anforderungen an Uploads/Downloads und Nachrichtenwarteschlangen).
In diesem Monat kann es aufgrund der Änderung bei OLE und der Art und Weise, wie Microsoft damit umgegangen ist, etwas schwierig sein, die Automatisierung/Skripte von Microsoft Office und die Integration mit Anwendungen von Drittanbietern zu testen CVE-2023-36884. Wir empfehlen einen vollständigen Test der Excel-Makros (bei Verwendung von OLE/COM/DCOM) und aller VBS-Skripte, die Word enthalten.
Windows-Lebenszyklus-Update
Dies sind die wichtigsten Dienständerungen (und die meisten Sicherheitsupdates) für Windows-Desktop- und Serverplattformen.
- Windows 11, Version 21H2, wird am 10. Oktober 2023 eingestellt. Dies gilt für die folgenden Editionen, die im Oktober 2021 veröffentlicht wurden: Windows 11 Home, Pro, Education, Pro für Workstations.
Jeden Monat unterteilen wir den Update-Zyklus in Produktfamilien (wie von Microsoft definiert) mit den folgenden grundlegenden Gruppierungen:
- Browser (Microsoft IE und Edge);
- Microsoft Windows (sowohl Desktop als auch Server);
- Microsoft Office;
- Microsoft Exchange Server;
- Microsoft-Entwicklungsplattformen (ASP.NET Core, .NET Core und Chakra Core);
- Und Adobe (im Ruhestand???, vielleicht nächstes Jahr).
Browser
Kaum zu glauben, aber in diesem Update-Zyklus gibt es keine Browser-Updates. Und wir sehen auch keine Aussicht auf eine Veröffentlichung in der Mitte des Zyklus. Dies ist eine große Veränderung und eine große Verbesserung im Vergleich zu den Tagen großer, komplexer und dringender Browser-Updates. Auf geht’s zu Microsoft!
Fenster
Microsoft hat acht wichtige Updates und 95 wichtige Patches für die Windows-Plattform veröffentlicht, die diese Schlüsselkomponenten abdecken:
Wie im vorherigen Abschnitt zu Microsoft Office erwähnt, glauben wir, dass der Schwerpunkt in diesem Monat auf der sofortigen Lösung von liegen sollte CVE-2023-36884. Obwohl Microsoft es als wichtig eingestuft hat (wir bedauern, dass wir anderer Meinung sind), glauben wir, dass es, da es öffentlich bekannt gegeben und ausgenutzt wurde, als dringend behandelt werden sollte. Zusammen mit den anderen Windows Zero-Day (CVE-2023-32046) Dies bringt die gesamte Windows Update-Gruppe in das „Patch Now“-Programm für unsere Kunden. Sobald das Schreien aufhört, können Sie sich etwas Zeit nehmen, um das zu überprüfen Windows 11 veröffentlicht Video; Wir finden es beruhigend.
Microsoft Office
Wir müssen über Microsoft Office sprechen. Obwohl es zwei qualifizierte kritische Updates für SharePoint gibt (CVE-2023-33157 Und CVE-2023-33160) und 14 von Microsoft als wichtig eingestuften Updates ist der Elefant im Raum CVE-2023-36884 (Sicherheitslücke in Office und HTML RCE). Diese Sicherheitslücke wurde öffentlich bekannt gegeben und als ausgenutzt dokumentiert. Offiziell gehört dieses Update zur Windows-Gruppe, aber wir glauben, dass die wirklichen Auswirkungen darin liegen, wie Microsoft Office HTML-Daten behandelt (Übertragung/Speicherung/Berechnung). CVE-2023-36884 Es wirkt sich direkt auf Office aus und Ihr Testsystem sollte dies widerspiegeln.
Fügen Sie diese Office-Updates zu Ihrem Standard-Release-Zeitplan hinzu. Beachten Sie dabei, dass Ihr Office-Patch-Testprogramm mit Ihrem Windows-Update-Release-Zeitplan kombiniert werden muss.
Microsoft Exchange Server
Zu unserem großen Glück gibt es diesen Monat keine Updates für Microsoft Exchange Server.
Microsoft-Entwicklungsplattformen
Im Vergleich zu den sehr schwerwiegenden (und zahlreichen) Sicherheitslücken in Office und Windows in diesem Monat gibt es nur fünf Updates, die Visual Studio, ASP.NET und eine kleinere Komponente davon betreffen infektiöse Mononukleose (die plattformübergreifende C#-Implementierung). Alle diese Patches werden von Microsoft als wichtig eingestuft und sollten zu ihrem standardmäßigen Entwickler-Veröffentlichungsplan hinzugefügt werden.
Adobe Reader (immer noch da, aber nicht diesen Monat)
Eine weitere gute Nachricht: Dieses Update enthält keine Updates von Adobe oder anderen Drittanbietern.
