Skip to content

Microsofts März-Patchday 2017 bringt uns 18 Security Bulletins, 14 0-Day-Schwachstellen und 3 0-Day-Exploits

Am März-Patchday hat Microsoft die ausgefallenen Februar-Patches nachgeholt und damit nicht nur mal wieder besonders viele Security Bulletins (18 Stück!) auf einmal veröffentlicht, sondern auch etliche 0-Day-Schwachstellen mit und ohne Exploit bekannt gemacht: 14 Schwachstellen waren bereits vor der Veröffentlichung der Patches öffentlich bekannt, weitere 3 werden bereits für Angriffe ausgenutzt.

Internet Explorer: Fünf 0-Day-Schwachstellen plus ein 0-Day-Exploit

"Microsofts März-Patchday 2017 bringt uns 18 Security Bulletins, 14 0-Day-Schwachstellen und 3 0-Day-Exploits" vollständig lesen

Microsoft patcht selbst verschuldete 0-Day-Schwachstellen im Flash Player

Nach der Absage des Februar-Patchdays hatte Microsoft ein Problem: Die von Adobe am gleichen Tag im Flash Player behobenen kritischen Schwachstellen blieben dadurch im in IE und Edge integrierten Flash Player offen. Im Grunde gab es nun also 0-Day-Schwachstellen, und davon reichlich: Die Schwachstellen waren durch die Veröffentlichung von Adobes Updates bekannt, es gab aber keinen Patch.

"Microsoft patcht selbst verschuldete 0-Day-Schwachstellen im Flash Player" vollständig lesen

Ein Patchday ohne 0-Days - und ohne Microsoft-Patches

Das es mal einen Patchday ohne die Preisgabe von 0-Day-Exploits bzw. laufenden Angriffen gibt, kam ja schon vor. Aber am Februar-Patchday hat nicht nur Adobe nur Bulletins zu bisher unbekannten Schwachstellen veröffentlicht (zu Flash Player, Adobe Digital Editions und Adobe Campaign), nein: Microsoft hat gleich gar keine Updates veröffentlicht!

Was ist da denn schief gelaufen?

"Ein Patchday ohne 0-Days - und ohne Microsoft-Patches" vollständig lesen

Januar-Patchday 2017: 2 unkritische 0-Day-Schwachstellen, keine Exploits

Das Jahr fängt sehr ruhig an: Microsoft hat nur 4 Security Bulletins veröffentlicht, von denen eins auch noch für den in IE und Edge integrierten Flash Player ist. Und die drei übrigen Bulletins enthalten nur jeweils eine CVE-ID. Dahinter verbergen sich in zwei Fällen zwar zuvor schon bekannte Schwachstellen, aber die sind weder kritisch, noch werden sie bereits ausgenutzt.

Adobe hat in seinen zwei Bulletins (für Acrobat und Reader sowie den Flash Player) zwar wieder jede Menge meist kritischer Schwachstellen gemeldet, aber keine davon ist zuvor bekannt gewesen oder ausgenutzt worden.

Privilegieneskalation in Edge

"Januar-Patchday 2017: 2 unkritische 0-Day-Schwachstellen, keine Exploits" vollständig lesen

Den 0-Day-Exploit des Dezembers präsentiert mal wieder Adobe

Es gibt mal wieder einen 0-Day-Exploit. Und wie schon fünf von elf mal in diesem Jahr ist mal wieder der Flash Player Ziel der Angriffe. Damit geht mal wieder die Hälfte aller 0-Day-Exploits aufs Konto des Flash Players (6/12). Auch 2015 waren es 9 der 18 veröffentlichten 0-Day-Exploits. Für was braucht man das Ding doch gleich noch? Bei mir ist der schon ewig nicht mehr installiert, und bisher habe ich ihn nie vermisst. Da drängt sich der Verdacht auf, dessen einziger wirklicher "Nutzen" besteht darin, darüber Schädlinge zu verbreiten.

"Den 0-Day-Exploit des Dezembers präsentiert mal wieder Adobe" vollständig lesen

0-Day-Exploit für Firefox unterwegs, Update veröffentlicht

Zur Zeit laufen Angriffe mit einem 0-Day-Exploit auf die Windows-Version des TorBrowsers, die auch gegen den ihm zu Grunde liegenden Firefox funktionieren. Die Firefox-Entwickler kennen die Schwachstelle mit der CVE-ID CVE-2016-9079 seit dem 29. November, und inzwischen wurden Updates für Firefox und TorBrowser veröffentlicht.

Sie sollten die Updates schnellstmöglich installieren, bevor die Cyberkriminellen anfangen, den Exploit im großen Maßstab für Drive-by-Infektionen einzusetzen.

Schwachstelle in SVG-Animationen

"0-Day-Exploit für Firefox unterwegs, Update veröffentlicht" vollständig lesen

November-Patchday: Wieder mal ein 0-Day-Exploit für Windows unterwegs

Am November-Patchday hat Microsoft wieder mehrere 0-Day-Schwachstellen behoben. Darunter auch eine, die bereits ausgenutzt wird, um Code einzuschleusen.

Damit steht es beim "Wettstreit" um die meisten 0-Day-Exploits zwischen Adobe und dem Rest der Welt wieder unentschieden: Dieses Jahr wurden 10 0-Day-Exploits entdeckt, 5 davon gehen auf das Konto des Flash Players. Adobe hat zwar auch ein Security Bulletin für den Flash Player veröffentlicht, aber keine 0-Days zu melden. Die aktuelle 0-Day-Schwachstelle wurde ja bereits Ende Oktober außer der Reihe behoben.

Remote Code Execution in der Font-Library

"November-Patchday: Wieder mal ein 0-Day-Exploit für Windows unterwegs" vollständig lesen

Microsofts Oktober-Patchday enthüllt 4 0-Day-Exploits

Am Oktober-Patchday hat Microsoft mal wieder zugelangt: Es wurden drei bereits für das Einschleusen von Code aus der Ferne (Remote Code Execution, RCE) ausgenutzte Schwachstellen behoben, außerdem ein ebenfalls bereits für Angriffe ausgenutztes Informationsleck (und das in gleich zwei Komponenten, dem IE und dem Internet Messaging API). Womit wir auf 5 Security Bulletins mit 0-Days darin kommen.

Remote Code Execution in Edge

"Microsofts Oktober-Patchday enthüllt 4 0-Day-Exploits" vollständig lesen

Microsoft: Ein 0-Day-Exploit und eine 0-Day-Schwachstelle am September Patchday

Am September-Patchday hat Microsoft eine bereits ausgenutzte und eine bereits öffentlich bekannte Schwachstelle behoben. Besondere Gefahr geht von beiden nicht aus, und da auch Adobe keine 0-Days gemeldet hat ist es diesmal ein sehr ruhiger Patchday!

Angriff über Informationsleck im IE

"Microsoft: Ein 0-Day-Exploit und eine 0-Day-Schwachstelle am September Patchday" vollständig lesen

Ein Patchday ohne 0-Days - da muss irgendwo was schief gelaufen sein

Wow, ich hatte gar nicht gedacht, dass es so was noch gibt: Ein Patchday ganz ohne 0-Day-Exploits oder zumindest -Schwachstellen. Aber weder Microsoft noch Adobe haben am heutigen August-Patchday 0-Days gemeldet.

Adobe hat noch nicht mal ein Update für den Flash Player veröffentlicht, und hat das für diesen Monat auch nicht vor. Obwohl - eigentlich ist das verdächtig, so löchrig wie der bisher war. Aber vielleicht wollen die ja nur im September einen uneinholbaren Rekord behobener Schwachstellen aufstellen und heben sich die Schwachstellen aus diesem Monat dafür auf.

Carsten Eilers

Juli 2016 - Ein fast 0-Day-freier Patchday

Am Juli-Patchday hat Microsoft lediglich zwei 0-Day-Schwachstellen behoben, die aber beide bisher nicht für Angriffe ausgenutzt werden. Und Adobe hat zwar 52 Schwachstellen im Flash Player behoben, von denen die meisten das Ausführen eingeschleusten Codes erlauben, ausnahmsweise wird diesmal aber keine davon bereits für Angriffe ausgenutzt. Eben so wenig wie eine der 30 Schwachstellen, die in Adobe Acrobat und Reader behoben wurden. Und von denen ebenfalls die meisten das Ausführen eingeschleusten Codes erlauben.

Informationsleck im Windows-Kernel

"Juli 2016 - Ein fast 0-Day-freier Patchday" vollständig lesen

0-Day-Exploit für Flash Player unterwegs, bei Microsoft nur 0-Day-Schwachstellen gepatcht

Adobe warnt mal wieder vor einem 0-Day-Exploit für den Flash Player, ein Update ist in Vorbereitung. Bei Microsoft sieht es dafür am Juni-Patchday besser aus: Es wurde zwar wieder eine Reihe von 0-Day-Schwachstellen behoben, aber für keine davon ist bereits ein Exploit in Umlauf.

Update 16.6.:
Adobe hat das Update veröffentlicht, siehe unten!
Ende des Updates

Der monatliche 0-Day-Exploit für den Flash Player

"0-Day-Exploit für Flash Player unterwegs, bei Microsoft nur 0-Day-Schwachstellen gepatcht" vollständig lesen

0-Day-Exploits für Flash Player und IE unterwegs

Adobe warnt vor einem 0-Day-Exploit für den Flash Player, ein Patch wurde für den 12. Mai angekündigt. Und Microsoft hat am Mai-Patchday unter anderem drei 0-Day-Schwachstellen behoben, von denen eine ebenfalls bereits für Angriffe ausgenutzt wird.

0-Day-Exploit für den Flash Player unterwegs

"0-Day-Exploits für Flash Player und IE unterwegs" vollständig lesen