{"id":208527,"date":"2023-07-17T13:51:21","date_gmt":"2023-07-17T13:51:21","guid":{"rendered":"https:\/\/www.ninjaone.com\/script-hub\/ungepatchter-microsoft-0-day-wie-man-cve-2023-36884-mit-powershell-entschaerft\/"},"modified":"2024-03-04T16:07:29","modified_gmt":"2024-03-04T16:07:29","slug":"ungepatchter-microsoft-0-day-wie-man-cve-2023-36884-mit-powershell-entschaerft","status":"publish","type":"script_hub","link":"https:\/\/www.ninjaone.com\/de\/script-hub\/ungepatchter-microsoft-0-day-wie-man-cve-2023-36884-mit-powershell-entschaerft\/","title":{"rendered":"Ungepatchter Microsoft 0-Day: Wie man CVE-2023-36884 mit PowerShell entsch\u00e4rft"},"content":{"rendered":"

Die Microsoft-Updates f\u00fcr den Patch Tuesday im Juli 2023 weisen auf mehrere Sicherheitsl\u00fccken hin, die aktiv ausgenutzt werden. Darunter befindet sich eine Sicherheitsl\u00fccke (oder mehrere?), die noch nicht behoben wurde. Hier erfahren Sie, was Sie \u00fcber die Zero-Day-Schwachstelle CVE-2023-36884<\/a> wissen m\u00fcssen, die Angreifer ausnutzen, um Remotecodeausf\u00fchrung \u00fcber „speziell gestaltete“ Microsoft Office-Dokumente zu erlangen.<\/p>\n

Was ist CVE-2023-36884?<\/h2>\n

Kurzantwort: Microsoft bezeichnet CVE-2023-36884<\/a>\u00a0als Sicherheitsanf\u00e4lligkeit in Office und Windows HTML mit Remotecodeausf\u00fchrung und einem CVSS-Wert von 8.3.<\/p>\n

Eine ausf\u00fchrlichere Antwort: Wird erwartet.<\/p>\n

Im Moment deutet der Hinweis des Unternehmens darauf hin, dass Microsoft die Schwachstelle noch aktiv untersucht, und liefert nicht viel mehr als eine kurzgefasste Beschreibung. Darin hei\u00dft es, dass ein Angreifer bei erfolgreicher Ausnutzung der Sicherheitsanf\u00e4lligkeit in der Lage ist, Remotecode im Kontext des jeweiligen Betroffenen auszuf\u00fchren. Dazu m\u00fcssen betroffene lediglich dazu gebracht werden, ein mit speziellen Funktionen versehenes Microsoft Office-Dokument zu \u00f6ffnen.<\/p>\n

Der Hinweis beginnt mit der Aussage: „Microsoft untersucht Berichte \u00fcber eine Reihe<\/strong> von Schwachstellen, die Remotecodeausf\u00fchrung erm\u00f6glichen“ („Betonung von mir“), was den Schwachstellenexperten Will Dormann zu der Theorie<\/a> veranlasst, dass „CVE-2023-36884 lediglich ein Platzhalter f\u00fcr ein Update ist, das mehrere Schwachstellen \u00fcber ein einziges CVE behebt, das m\u00f6glicherweise zu einem unbekannten Zeitpunkt in der Zukunft ver\u00f6ffentlicht wird“.<\/p>\n

W\u00e4hrend das Gutachten selbst keine Einzelheiten enth\u00e4lt, verweist es auf einen Blogbeitrag<\/a>, der mehr \u00fcber die Entdeckung der Schwachstelle durch Microsoft aussagt.<\/p>\n

Spionage und Ransomware – aktive Ausnutzung von CVE-2023-36884<\/h2>\n

Im Juni identifizierte Microsoft<\/a> eine Phishing-Kampagne, die von einem Angreifer gestartet wurde, den Microsoft als Storm-0978 bezeichnet. Die Kampagne zielte auf Verteidigungs- und Regierungseinrichtungen in Nordamerika und Europa ab, wobei die Lockangebote im Zusammenhang mit dem ukrainischen Weltkongress standen. Die im Rahmen der Kampagne versandten E-Mails enthielten Links zu Word-Dokumenten, die CVE-2023-36884 missbrauchten, um eine Sicherheitsl\u00fccke zu installieren.<\/p>\n

W\u00e4hrend diese Ziele und Aktivit\u00e4ten nach der Kompromittierung auf Spionagemotive hindeuten, stellt Microsoft fest, dass Storm-0978 w\u00e4hrend dieser Kampagne auch separate Ransomware-Angriffe auf nicht verwandte Ziele durchf\u00fchrte, die die gleichen urspr\u00fcnglichen Nutzdaten verwendeten.<\/p>\n

Laut Microsoft waren die Ransomware-Aktivit\u00e4ten des Bedrohungsakteurs „gr\u00f6\u00dftenteils opportunistischer Natur und v\u00f6llig getrennt von den auf Spionage ausgerichteten Zielen“.<\/p>\n

UPDATE: Eine noch ausf\u00fchrlichere Analyse dieser Kampagne<\/a> ist bei BlackBerry erh\u00e4ltlich.<\/p>\n

 <\/p>\n

Ist ein Patch f\u00fcr CVE-2023-36884 verf\u00fcgbar?<\/h2>\n

Momentan nicht.<\/p>\n

Microsoft weist darauf hin, dass die Untersuchung dieser Sicherheitsl\u00fccke noch nicht abgeschlossen ist und dass das Unternehmen nach Abschluss der Untersuchung „die entsprechenden Ma\u00dfnahmen zum Schutz unserer Kunden ergreifen wird. Dazu kann die Bereitstellung eines Sicherheitsupdates im Rahmen unseres monatlichen Ver\u00f6ffentlichungsprozesses oder die Bereitstellung eines Sicherheitsupdates au\u00dferhalb des Zyklus geh\u00f6ren, je nach Kundenbedarf.“<\/p>\n

Abhilfen f\u00fcr CVE-2023-36884<\/h2>\n

Nach Angaben von Microsoft gibt es derzeit drei M\u00f6glichkeiten f\u00fcr Unternehmen, sich zu sch\u00fctzen:<\/p>\n

    \n
  1. Kunden, die Microsoft Defender f\u00fcr Office verwenden, sind vor Anh\u00e4ngen gesch\u00fctzt, die versuchen, diese Sicherheitsl\u00fccke auszunutzen.<\/li>\n
  2. In aktuellen Angriffsketten verhindert die Regel „Block all Office applications from creating child processes<\/a> „, dass die Sicherheitsl\u00fccke ausgenutzt wird.<\/li>\n
  3. Organisationen, die diese Schutzma\u00dfnahmen nicht in Anspruch nehmen k\u00f6nnen, haben die M\u00f6glichkeit, folgende Anwendungsnamen als Werte des Typs REG_DWORD mit dem Wert 1 in diesen Registrierungsschl\u00fcssel aufzunehmen:
    \nComputerHKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftInternet ExplorerMainFeatureControlFEATURE_BLOCK_CROSS_PROTOCOL_FILE_NAVIGATION<\/li>\n<\/ol>\n