15/12/2021

Patchday Dezember 2021

Alle wichtigen Infos zum Patchday im Dezember auf einen Blick
Von
Philipp Lessig
Content Creator
und

Wer die letzten Tage nicht in einer abgeschlossenen Höhle verbracht hat, hat von der kürzlich bekannt gewordenen Schwachstelle in der Java-Schwachstelle "log4j" gehört. Und natürlich dominiert auch diese Schwachstelle den Patchday. Aber es gab auch weitere Anpassungen. Hier der Überblick:

CVE-2021-44228: Log4Shell (Log4j)

Betroffene Produkte werden immer noch identifiziert und reichen von Webdiensten wie Apache Struts über Spiele wie Minecraft bis hin zu Bank- und Finanzanwendungen. Wenn Sie einen Server betreiben, der auf Open-Source-Software basiert, besteht eine gute Chance, dass Sie von dieser Sicherheitsanfälligkeit betroffen sind. Trend Micro hat diesen Blog veröffentlicht, der den Fehler detailliert beschreibt und IOCs und Anleitungen zur Erkennung von Angriffen bereitstellt. Bisher sehen wir aktive Exploits, die Mirai-Varianten und Kinsing-Coin-Miner auf betroffenen Servern ablegen.

Wir können Ihnen dabei helfen betroffene Schwachstellen zu identifizieren und zu schließen. Melden Sie sich gerne bei uns! 

Microsoft

Von den heute gepatchten CVEs werden sieben als kritisch und 60 als wichtig eingestuft. Insgesamt 10 dieser Fehler kamen durch das ZDI-Programm. Fünf dieser Fehler werden als öffentlich bekannt aufgeführt, und einer wird zum Zeitpunkt der Veröffentlichung als öffentlich ausgenutzt aufgeführt.

  • CVE-2021-43890 - Windows AppX Installer Dieser Patch behebt einen Fehler im AppX-Installationsprogramm, der Windows betrifft. Microsoft gibt an, dass sie den Fehler in Malware in der Emotet / Trickbot / Bazaloader-Familie gesehen haben. Ein Angreifer müsste einen bösartigen Anhang erstellen, der in Phishing-Kampagnen verwendet werden soll. Der Angreifer müsste dann den Benutzer dazu verleiten, die speziell gestaltete Anlage zu öffnen.
  • CVE-2021-43899 – Sicherheitsanfälligkeit in Microsoft 4K Wireless Display Adapter Update behebt eine Sicherheitsanfälligkeit, die es einem nicht authentifizierten Angreifer ermöglichen kann, seinen Code auf einem betroffenen Gerät auszuführen. Der Angreifer muss sich im selben Netzwerk wie die Microsoft 4K-Grafikkarte befinden. Wenn dies der Fall ist, können sie speziell gestaltete Pakete an das betroffene Gerät senden. Dies zu patchen wird keine leichte Aufgabe sein. Um geschützt zu sein, müssen Benutzer die Microsoft Wireless Display Adapter-Anwendung aus dem Microsoft Store auf einem System installieren, das mit dem Microsoft 4K Wireless Display Adapter verbunden ist. Nur dann können Sie den Abschnitt "Update & Sicherheit" der App verwenden, um die neueste Firmware herunterzuladen, um diesen Fehler zu beheben.

Eine Auflistung aller Patches inklusive entsprechender Downloads stellt Microsoft bereit.

Adobe

Für Dezember veröffentlichte Adobe 11 Patches für 60 CVEs in Adobe Audition, Lightroom, Media Encoder, Premiere Pro, Prelude, Dimension, After Effects, Photoshop, Connect, Experience Manager und Premiere Rush.

SAP

  • Update zur Security Note am Patch Day: Sicherheitsupdates für die Browsersteuerung Google Chrome mit SAP Business Client Produkt ausgeliefert – SAP Business Client, Version – 6.5 - wird als kritisch eingestuft.
  • CVE-2021-44231 Code Injection-Schwachstelle in SAP ABAP Server & ABAP Platform (Translation Tools) Produkt - SAP ABAP Server & ABAP Platform (Translation Tools), Versionen - 701, 740.750.751.752.753.754.755.756.804 - als Hot news eingestuft.
  • [CVE-2021-42064]SQL Injection-Schwachstelle in SAP Commerce Product - SAP Commerce, Versionen - 1905, 2005, 2105, 2011 - Security-Warnstufe: Hoch.

Nächster Patchday am 11.01.22. Bis dahin bleiben Sie sicher und gesund und kommen Sie gut ins neue Jahr!

Kennen Sie die Schwachstellen Ihres Systems?

Schwachstellen stellen ein hohes Sicherheitsrisiko dar. Ein gutes Patchmanagement ist enorm wichtig.
Informieren Sie sich jetzt!

Lesen sie Weitere Artikel passend zum thema