Quelle: microsoft.com

Heute ist der Microsoft Patch Tuesday im April 2025, der Sicherheitsupdates für 134 Schwachstellen enthält, darunter eine aktiv ausgenutzte Zero-Day-Schwachstelle.

Dieser Patch Tuesday behebt außerdem elf „kritische“ Schwachstellen, allesamt Schwachstellen bei der Ausführung von Remote-Code.

Die Anzahl der Fehler in jeder Schwachstellenkategorie ist unten aufgeführt:

• 49 Schwachstellen bei der Erhöhung von Berechtigungen
• 9 Schwachstellen bei der Umgehung von Sicherheitsfunktionen
• 31 Sicherheitslücken durch Remote-Code-Ausführung
• 17 Sicherheitslücken durch Offenlegung von Informationen
• 14 Sicherheitslücken durch Denial-of-Service
• 3 Sicherheitslücken durch Spoofing

In den oben genannten Zahlen sind die Mariner-Schwachstellen und 13 Microsoft Edge-Schwachstellen, die Anfang des Monats behoben wurden, nicht enthalten.

Eine aktiv ausgenutzte Zero-Day-Schwachstelle

Der diesmonatige Patch Tuesday behebt eine aktiv ausgenutzte Zero-Day-Schwachstelle. Microsoft stuft eine Zero-Day-Schwachstelle als öffentlich bekannt oder aktiv ausgenutzt ein, solange keine offizielle Lösung verfügbar ist.

Die aktiv ausgenutzte Zero-Day-Schwachstelle in den heutigen Updates ist:

Windows Common Log File System-Treiber-Schwachstelle mit erhöhten Berechtigungen (CVE-2025-29824)

Hierbei handelt es sich um eine „Use After Free“-Schwachstelle (UAF) im Windows Common Log File System (CLFS)-Treiber. UAF-Probleme treten auf, wenn auf freigegebenen Speicher erneut zugegriffen wird, was zu unvorhersehbarem Verhalten führt. In diesem Fall behandelt der CLFS-Treiber den Speicher falsch, sodass ein Angreifer den Speicherzustand manipulieren kann. Der Fehler liegt in der Art und Weise, wie der Treiber bei der Verarbeitung von Protokolldateien Speicher zuweist und freigibt, wodurch es möglich wird, beliebigen Code im Kontext des Treibers auszuführen, der mit erhöhten Berechtigungen ausgeführt wird.

Betroffene Systeme

• Windows 10 (32-Bit und x64)
• Windows 11
• Windows Server 2012 und höher

Diese Sicherheitslücke ist von großer Bedeutung, da sie eine Kernkomponente von Windows betrifft und sich auf eine Vielzahl von Umgebungen auswirkt, darunter Unternehmenssysteme und kritische Infrastrukturen.

Wenn sie ausgenutzt wird, ermöglicht sie eine Privilegienerweiterung auf SYSTEM-Ebene – die höchste Privilegienstufe auf einem Windows-System. Ein Angreifer könnte:

• Schadsoftware installieren
• Systemdateien und Registrierungseinstellungen ändern
• Sicherheitsfunktionen deaktivieren
• Auf sensible Daten zugreifen
• Dauerhaften Zugriff aufrechterhalten

Dies könnte zu einer vollständigen Systemkompromittierung und lateraler Ausbreitung über Netzwerke hinweg führen.

CVSS-Übersicht

• CVSS-Score: 7,8 (Basis) / 7,2 (zeitlich)
• Angriffsvektor: Lokal
• Angriffskomplexität: Niedrig
• Erforderliche Berechtigungen: Niedrig
• Benutzerinteraktion: Keine

Ausnutzbarkeit

• – In freier Wildbahn ausgenutzt: Ja
• Proof of Concept verfügbar: Wahrscheinlich, da auf funktionalen Exploit-Code verwiesen wird

Ausnutzungsszenarien

1. 1. Eigenständige Ausnutzung
   Ein lokaler Angreifer könnte böswillige Eingaben vornehmen, um die Schwachstelle auszulösen und Code mit SYSTEM-Berechtigungen auszuführen.
2. Verkettete Ausnutzung
   Sie könnte mit Schwachstellen bei der Remotecodeausführung kombiniert oder durch Software von Drittanbietern ausgenutzt werden, die mit dem CLFS-Treiber interagiert, wodurch ein mehrstufiger Angriffspfad entsteht.

Diese Schwachstelle wird bereits ausgenutzt, und aufgrund ihrer geringen Komplexität und hohen Auswirkungen bleibt sie ein ernstes Problem.

Mehrere Microsoft Office-Schwachstellen: Überblick

• CVE-2025-29791 ist eine Typverwechslungsschwachstelle, die als „Access of Resource Using Incompatible Type“ (CWE-843) klassifiziert ist. Sie tritt auf, wenn die Anwendung mit einem falschen Typ auf eine Ressource zugreift, was zu unbeabsichtigtem Verhalten und möglicherweise zur Ausführung von Code führen kann.
• CVE-2025-27749, CVE-2025-27748 und CVE-2025-27745 sind Use-after-free-Schwachstellen (UAF) (CWE-416). Diese treten auf, wenn auf bereits freigegebenen Speicher erneut zugegriffen wird, was zu einer Beschädigung des Speichers führt und möglicherweise die Ausführung von beliebigem Code ermöglicht.

Mögliche Auswirkungen

• Remote Code Execution: Angreifer könnten beliebigen Code auf dem betroffenen System ausführen.
• Datendiebstahl: Der Zugriff auf sensible Daten ist möglich.
• Malware-Installation: Es könnte schädliche Software eingesetzt werden.
• Systemübernahme: Durch die Ausführung von Code ist die vollständige Kontrolle über das System möglich.

CVSS-Übersicht

• Score: 7,8 (Base) / 6,8 (Temporal)
• Vektor: CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
• Angriffsvektor: Lokal
• Angriffskomplexität: Niedrig
• Erforderliche Berechtigungen: Keine
• Benutzerinteraktion: Erforderlich

Diese Schwachstellen werden derzeit nicht in freier Wildbahn ausgenutzt. Es gibt keinen öffentlichen Proof of Concept.

Ausnutzungsszenarien

• Öffnen einer schädlichen Datei:
  Ein Angreifer könnte eine schädliche Excel-Datei erstellen. Beim Öffnen könnte sie eine der Schwachstellen auslösen. Bei CVE-2025-29791 würde dies eine Typverwechslung beinhalten. Bei den UAF-Schwachstellen (CVE-2025-27749, CVE-2025-27748, CVE-2025-27745) würde dies den Zugriff auf freigegebenen Speicher beinhalten, was zu einer Beschädigung des Speichers und zur Ausführung von Code führen würde.
• Verkettung mit anderen Schwachstellen:
  Diese Probleme könnten mit Social Engineering oder anderen Schwachstellen für die Ausführung von Remote-Code kombiniert werden. Beispielsweise könnte eine Phishing-E-Mail verwendet werden, um einen Benutzer dazu zu verleiten, eine schädliche Datei zu öffnen, die dann eine dieser Schwachstellen ausnutzt. Sie könnten auch mit anderen Exploits verkettet werden, um Berechtigungen zu erweitern oder sich lateral innerhalb eines Netzwerks zu bewegen.

Microsoft Office ist in Unternehmen weit verbreitet, was bedeutet, dass das potenzielle Risiko erheblich ist.

Die erforderliche Interaktion des Benutzers erschwert die Sache zwar, doch Angreifer setzen oft auf Social Engineering, um sie zu überwinden. In einigen Fällen könnte der Vorschaubereich als Angriffsvektor dienen, sodass die Schwachstelle ausgelöst werden kann, ohne die Datei explizit zu öffnen.

Zwei Schwachstellen im Remote Desktop Gateway: Überblick

• CVE-2025-27482 betrifft die „Speicherung sensibler Daten in nicht ordnungsgemäß gesperrtem Speicher“ (CWE-591). Dies tritt auf, wenn sensible Daten in einem nicht ordnungsgemäß gesperrten Speicher gespeichert werden, was möglicherweise unbefugten Zugriff und die Ausführung von Code ermöglicht.
• CVE-2025-27480 ist eine „Use-after-free“-Schwachstelle (UAF) (CWE-416). Sie entsteht, wenn auf Speicher zugegriffen wird, nachdem dieser freigegeben wurde, was zu einer Beschädigung des Speichers und der Ausführung von beliebigem Code führen kann.

Beide Schwachstellen betreffen den Remote Desktop Gateway-Dienst, eine Schlüsselkomponente der Windows Remote Desktop Services, die für den Fernzugriff und die Fernverwaltung verwendet wird.

Mögliche Auswirkungen

• Remotecodeausführung: Angreifer könnten beliebigen Code auf dem betroffenen System ausführen.
• Datenmissbrauch: Im entsperrten Speicher gespeicherte sensible Daten könnten offengelegt werden.
• Systemkompromittierung: Die vollständige Kontrolle über das System ist möglich, was zu unbefugtem Zugriff, Datendiebstahl und Malware-Installation führen kann.
• Seitliche Bewegung: Diese Schwachstellen könnten als Einstiegspunkt dienen, um sich über ein Netzwerk zu bewegen und weitere Systeme zu kompromittieren.

CVSS-Übersicht

• Score: 8,1 (Basis) / 7,1 (zeitlich)
• Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
• Angriffsvektor: Netzwerk
• Angriffskomplexität: Hoch (erfordert eine Race-Condition)
• Erforderliche Berechtigungen: Keine
• Benutzerinteraktion: Keine

Diese Schwachstellen werden derzeit nicht in freier Wildbahn ausgenutzt, und es wurde kein Proof of Concept veröffentlicht. Das Tag „Ausnutzung wahrscheinlicher“ deutet jedoch auf eine höhere Wahrscheinlichkeit einer zukünftigen Ausnutzung hin, sobald technische Details veröffentlicht werden.

Ausnutzungsszenarien

• CVE-2025-27482: Ein Angreifer könnte sich mit einem System verbinden, auf dem die Remote Desktop Gateway-Rolle ausgeführt wird, und eine Race-Condition auslösen, um auf sensible Daten in nicht ordnungsgemäß gesperrtem Speicher zuzugreifen, was zur Ausführung von Code führt.
• CVE-2025-27480: Diese Schwachstelle könnte ausgenutzt werden, indem durch ein Race-Szenario eine Use-After-Free-Bedingung geschaffen wird, die die Ausführung von beliebigem Code ermöglicht.
• Verkettete Angriffe: Diese Schwachstellen könnten zusammen mit anderen Exploits – wie Social Engineering oder zusätzlichen Fehlern bei der Ausführung von Remote-Code – genutzt werden, um sich einen ersten Zugang zu verschaffen, Berechtigungen zu erweitern oder sich innerhalb eines Netzwerks zu bewegen.

Trotz der hohen Komplexität der Angriffe sind diese Schwachstellen besonders besorgniserregend, da keine erforderlichen Berechtigungen und keine Benutzerinteraktion erforderlich sind. Während das Auslösen einer Race-Condition zuverlässig Aufwand erfordert, können Angreifer im Laufe der Zeit funktionierenden Exploit-Code entwickeln, was das Risiko einer Ausnutzung erhöht.

Zwei LDAP-Schwachstellen: Überblick

CVE-2025-26670 und CVE-2025-26663 werden als Use-after-free-Schwachstellen (UAF) (CWE-416) eingestuft. Diese treten auf, wenn auf bereits freigegebenen Speicher erneut zugegriffen wird, was zu einer Beschädigung des Speichers führt und möglicherweise die Ausführung von beliebigem Code ermöglicht. Diese spezifischen Schwachstellen betreffen den Windows LDAP-Client und ermöglichen es einem Angreifer aus der Ferne, Code über das Netzwerk auszuführen. Da LDAP in Unternehmensumgebungen häufig für die Authentifizierung und den Verzeichniszugriff verwendet wird, können die Auswirkungen erheblich sein.

Mögliche Auswirkungen

• Remote Code Execution: Angreifer könnten beliebigen Code auf dem betroffenen System ausführen und so die Installation von Malware, Systemänderungen oder unbefugten Zugriff ermöglichen.
• Datenschutzverletzung: Auf dem System oder in den Verzeichnisdiensten gespeicherte vertrauliche Informationen könnten offengelegt werden.
• Systemkompromittierung: Mit RCE könnte ein Angreifer die vollständige Kontrolle über das System übernehmen, sich lateral im Netzwerk bewegen und zusätzliche Nutzlasten bereitstellen.
• Dienstunterbrechung: Die Ausnutzung dieser Schwachstellen könnte Dienste, die auf den LDAP-Client angewiesen sind, destabilisieren oder zum Absturz bringen.

CVSS-Übersicht

• Score: 8,1 (Basis) / 7,1 (zeitlich)
• Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
• Angriffsvektor: Netzwerk
• Angriffskomplexität: Hoch (beinhaltet eine Race-Condition)
• Erforderliche Berechtigungen: Keine
• Benutzerinteraktion: Keine

Diese Schwachstellen werden derzeit nicht in freier Wildbahn ausgenutzt, und es wurde kein Proof of Concept veröffentlicht. Sie sind jedoch als „Ausnutzung wahrscheinlicher“ gekennzeichnet, was bedeutet, dass das Risiko einer Ausnutzung steigt, sobald technische Details öffentlich werden.

Ausnutzungsszenarien

Ein nicht authentifizierter Angreifer könnte eine Folge speziell gestalteter Anfragen an einen anfälligen LDAP-Server senden und so eine „Use-after-free“-Bedingung auslösen. Bei Erfolg könnte dies zur Ausführung von Remote-Code führen. Der Angriff beruht auf dem Gewinn einer Race-Condition, was die Komplexität erhöht, eine Ausnutzung jedoch nicht unmöglich macht.

Verknüpfung mit anderen Schwachstellen

Diese Probleme könnten mit anderen Schwachstellen kombiniert werden – wie z. B. solchen, die durch Phishing oder zusätzliche Fehler bei der Ausführung von Remote-Code ausgenutzt werden –, um komplexere Angriffsketten aufzubauen. Ein Angreifer könnte beispielsweise über diese LDAP-Schwachstellen einen ersten Zugriff erlangen und dann andere Exploits nutzen, um seine Berechtigungen zu erweitern oder sich im Netzwerk auszubreiten.

Obwohl der Angriff Präzision und Timing erfordert, sind diese Schwachstellen besonders gefährlich, da die erforderlichen Berechtigungen oder die Interaktion des Benutzers fehlen. Mit der Zeit könnten Angreifer zuverlässige Methoden entwickeln, um die Race-Condition auszulösen, wodurch die Wahrscheinlichkeit einer erfolgreichen Ausnutzung steigt.

Die Sicherheitsupdates vom Patchday im April 2025

Nachfolgend finden Sie die vollständige Liste der behobenen Schwachstellen in den Updates vom Patchday im April 2025.

Quelle: microsoft.com

Microsoft März 2025 Patch Tuesday behebt 7 Zero-Days und 57 Schwachstellen

Es ist Microsofts März 2025 Patch Tuesday, der Sicherheitsupdates für 57 Schwachstellen enthält, darunter sechs aktiv ausgenutzte Zero-Day-Schwachstellen.

An diesem Patch-Dienstag werden außerdem sechs „kritische“ Sicherheitslücken behoben, bei denen es sich um Sicherheitslücken handelt, die Remotecodeausführung ermöglichen.

Die Anzahl der Fehler in den einzelnen Sicherheitskategorien ist unten aufgeführt:

• 23 Anfälligkeiten für die Erhöhung von Privilegien
• 3 Anfälligkeiten für die Umgehung von Sicherheitsfunktionen
• 23 Sicherheitslücken durch Remotecode-Ausführung
• 4 Schwachstellen in Bezug auf die Offenlegung von Informationen
• 1 Denial-of-Service-Schwachstellen
• 3 Spoofing-Schwachstellen

In den oben genannten Zahlen sind die Mariner-Schwachstellen und die 10 Microsoft Edge-Schwachstellen, die Anfang dieses Monats behoben wurden, nicht enthalten.

Sechs aktiv ausgenutzte Sicherheitslücken

Der diesmonatige Patch Tuesday behebt sechs aktiv ausgenutzte Zero-Days und einen, der öffentlich bekannt wurde, insgesamt also sieben Zero-Days.

Microsoft stuft einen Zero-Day-Fehler als öffentlich bekannt oder aktiv ausgenutzt ein, solange kein offizieller Fix verfügbar ist.

Einige der aktiv ausgenutzten Zero-Days stehen im Zusammenhang mit Windows NTFS-Fehlern, die das Mounten von VHD-Laufwerken betreffen.

Die aktiv ausgenutzten Zero-Day-Schwachstellen in den heutigen Updates sind:

CVE-2025-24983 – Windows Win32 Kernel Subsystem Elevation of Privilege Vulnerability

Laut Microsoft ermöglicht diese Sicherheitsanfälligkeit lokalen Angreifern die Erlangung von SYSTEM-Privilegien auf dem Gerät, nachdem sie eine Race Condition gewonnen haben.

Microsoft hat nicht mitgeteilt, wie die Schwachstelle in Angriffen ausgenutzt wurde. Da die Schwachstelle jedoch von Filip Jurčacko von ESET entdeckt wurde, werden wir wahrscheinlich in einem zukünftigen Bericht mehr erfahren.

CVE-2025-24984 – Windows NTFS Information Disclosure Vulnerability

Laut Microsoft kann diese Schwachstelle von Angreifern ausgenutzt werden, die physischen Zugriff auf das Gerät haben und ein bösartiges USB-Laufwerk einstecken.

Durch Ausnutzung der Schwachstelle können Angreifer Teile des Heap-Speichers lesen und Informationen stehlen.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die NTFS verwenden und in Unternehmensumgebungen weit verbreitet sind.
• Auswirkungen: Angreifer mit physischem Zugriff können Teile des Heap-Speichers extrahieren und so möglicherweise vertrauliche Informationen wie kryptografische Schlüssel, Token oder zwischengespeicherte Anmeldeinformationen abrufen.
• CVSS-Score: Basis 4.6, Temporal 4.3
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja („Exploitation Detected“)
• Proof of Concept (PoC): Gibt es wahrscheinlich im privaten Kreis von Bedrohungsakteuren.

Details zur Ausnutzung:

• Angriffsvektor: Physisch (erfordert direkten Zugriff, z. B. über USB-Stecker).
• Komplexität des Angriffs: Gering
• Erforderliche Privilegien: Keine

CVE-2025-24985 – Windows Fast FAT File System Driver – Sicherheitsanfälligkeit bei Remotecodeausführung

Laut Microsoft wird diese Sicherheitsanfälligkeit für Remotecodeausführung durch einen Integer-Überlauf oder Wraparound im Windows Fast FAT-Treiber verursacht, der es einem Angreifer ermöglicht, Code auszuführen.

„Ein Angreifer kann einen lokalen Benutzer auf einem anfälligen System dazu bringen, eine speziell gestaltete VHD zu mounten, die dann die Sicherheitslücke auslöst“, erklärt Microsoft.

Microsoft hat zwar keine Einzelheiten darüber bekannt gegeben, wie die Schwachstelle ausgenutzt wurde, aber bösartige VHD-Images wurden zuvor in Phishing-Angriffen und über Raubkopien-Websites verbreitet.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die FAT/FAT32 unterstützen (weit verbreitet für ältere Kompatibilität und Wechselspeicher).
• Auswirkungen: Kompromittierung des gesamten Systems durch Ausführung auf Kernel-Ebene.
• CVSS-Score: Base 7.8, Temporal 7.2
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja
• PoC: Wahrscheinlich in Kreisen fortgeschrittener Bedrohungsakteure aktiv.

Details zur Ausnutzung:

• Angriffsvektor: Lokal (bösartige FAT-formatierte VHD-Datei).
• Komplexität des Angriffs: Niedrig
• Erforderliche Privilegien: Keine
• Benutzer-Interaktion: Erforderlich (das Opfer muss die bösartige VHD mounten).

CVE-2025-24991 – Windows NTFS Information Disclosure Vulnerability

Laut Microsoft können Angreifer diese Schwachstelle ausnutzen, um kleine Teile des Heap-Speichers zu lesen und Informationen zu stehlen.

Angreifer können die Schwachstelle ausnutzen, indem sie einen Benutzer dazu verleiten, eine bösartige VHD-Datei zu mounten.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die NTFS verwenden.
• Auswirkungen: Mögliche Offenlegung sensibler Kernel-Daten, einschließlich kryptografischer Schlüssel, Token und Dateiinhalte.
• CVSS-Score: Base 5.5, Temporal 5.1
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja
• PoC: Wahrscheinlich unter Bedrohungsakteuren verfügbar.

Details zur Ausnutzung:

• Angriffsvektor: Lokal (böswillig erstellte VHD-Datei).
• Komplexität des Angriffs: Gering
• Erforderliche Privilegien: Keine
• Benutzer-Interaktion: Erforderlich (das Opfer muss die bösartige VHD mounten).

CVE-2025-24993 – Windows NTFS-Schwachstelle für Remotecodeausführung

Laut Microsoft wird diese Sicherheitsanfälligkeit für Remotecodeausführung durch einen Heap-basierten Pufferüberlauf in Windows NTFS verursacht, der einem Angreifer die Ausführung von Code ermöglicht.

„Ein Angreifer kann einen lokalen Benutzer auf einem anfälligen System dazu bringen, eine speziell gestaltete VHD zu mounten, die dann die Sicherheitslücke auslöst“, erklärt Microsoft.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die NTFS verwenden.
• Auswirkungen: Vollständige Systemkompromittierung; Code-Ausführung mit Berechtigungen auf Treiberebene kann Zugriff auf die Kernel-Ebene ermöglichen.
• CVSS-Score: Base 7.8, Temporal 7.2
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja (aktive Ausnutzung entdeckt)
• PoC: Höchstwahrscheinlich, da die Ausnutzung bestätigt wurde.

Details zur Ausnutzung:

• Angriffsvektor: Lokal (böswillig erstellte VHD-Datei).
• Komplexität des Angriffs: Niedrig
• Erforderliche Privilegien: Keine (die Privilegien des Opfers reichen aus).
• Benutzerinteraktion: Erforderlich (das Opfer muss die bösartige VHD mounten).

CVE-2025-26633 – Microsoft Management Console Security Feature Bypass Vulnerability

Microsoft hat zwar keine Einzelheiten zu dieser Schwachstelle bekannt gegeben, doch der Beschreibung nach könnte es sich um einen Fehler handeln, der es böswilligen Microsoft Management Console (.msc)-Dateien ermöglicht, die Windows-Sicherheitsfunktionen zu umgehen und Code auszuführen.

„In einem E-Mail- oder Instant-Messaging-Angriffsszenario könnte der Angreifer dem anvisierten Benutzer eine speziell gestaltete Datei senden, mit der die Sicherheitslücke ausgenutzt werden kann“, erklärt Microsoft.

„In jedem Fall hätte ein Angreifer keine Möglichkeit, einen Benutzer dazu zu zwingen, vom Angreifer kontrollierte Inhalte anzusehen. Stattdessen müsste ein Angreifer den Benutzer zu einer Aktion überreden. Beispielsweise könnte ein Angreifer einen Benutzer dazu verleiten, entweder auf einen Link zu klicken, der den Benutzer auf die Website des Angreifers leitet, oder einen bösartigen Anhang zu senden.“

Laut Microsoft hat Aliakbar Zahravi von Trend Micro diese Schwachstelle entdeckt.

Auswirkung

• Angreifer können die Sicherheitsfunktionen umgehen und so unbefugte Aktionen ausführen.
• Von MMC erzwungene Sicherheitsrichtlinien können umgangen werden, was zu langfristiger Persistenz und heimlichen bösartigen Aktivitäten führen kann.
• Kann mit anderen Einstiegsschwachstellen (z. B. browser- oder dokumentenbasierten Exploits) kombiniert werden, um vor eskalierenden Angriffen Fuß zu fassen.

CVSS-Metriken (CVSS 3.1 Score: Base 7.0, Temporal 6.5)

• Angriffsvektor: Lokal (Angreifer müssen ihre Nutzdaten auf dem System des Opfers ausführen, oft über Social Engineering oder File-Sharing).
• Angriffskomplexität: Hoch (Die Ausnutzung erfordert eine präzise Einrichtung und Ausrichtung, was eine massenhafte Ausnutzung unwahrscheinlich macht).
• Erforderliche Privilegien: Keine (Angreifer benötigen keine vorherigen Systemberechtigungen, um diese Schwachstelle auszunutzen).
• Benutzerinteraktion: Erforderlich (Die Opfer müssen eine bösartige MMC-Datei öffnen, die in der Regel durch Phishing oder Social Engineering bereitgestellt wird).

Ausnutzungsstatus

• Öffentliche Bekanntgabe: Nein (Details sind noch nicht bekannt, was weit verbreitete Angriffe vorerst einschränkt).
• In freier Wildbahn ausgenutzt: Ja (Microsoft hat bestätigt, dass die Schwachstelle in der Praxis ausgenutzt wird.)
• Proof of Concept (PoC): Existiert (Bestätigte funktionale Ausnutzung, jedoch nicht öffentlich verfügbar).

CVE-2025-26630 – Microsoft Access-Schwachstelle mit Remotecode-Ausführung

Laut Microsoft wird diese Schwachstelle bei der Remotecodeausführung durch einen Fehler bei der Verwendung von freiem Speicher in Microsoft Office Access verursacht.

Um die Schwachstelle auszunutzen, muss ein Benutzer dazu verleitet werden, eine speziell gestaltete Access-Datei zu öffnen. Dies kann durch Phishing- oder Social-Engineering-Angriffe geschehen.

Die Schwachstelle kann jedoch nicht über das Vorschaufenster ausgenutzt werden.

Laut Microsoft wurde die Schwachstelle von Unpatched.ai entdeckt.

Betroffene Systeme

Alle unterstützten Versionen von Microsoft Access, einer weit verbreiteten Komponente der Microsoft Office-Suite für die Datenbankverwaltung.

Ausnutzungsdetails

• Angriffsvektor: Lokal (Die Nutzlast wird auf dem Gerät des Opfers ausgeführt; Angreifer müssen Benutzer dazu bringen, bösartige Dateien zu öffnen).
• Komplexität des Angriffs: Gering (Sobald ein Opfer eine manipulierte Access-Datei öffnet, erfolgt die Ausführung zuverlässig ohne zusätzliche Bedingungen).
• Erforderliche Privilegien: Keine (Angreifer benötigen keinen vorherigen Systemzugriff, so dass Standard-Benutzerkonten angreifbar sind.)
• Benutzerinteraktion: Erforderlich (Das Opfer muss eine bösartige Access-Datei öffnen, die in der Regel über Phishing oder Social Engineering bereitgestellt wird).

Schweregrad und Ausnutzungsstatus

• CVSS Base Score: 7.8 (Hoch)
• CVSS Temporal Score: 6.8
• Öffentlich bekannt gegeben: Ja (Details sind öffentlich bekannt, was das Risiko eines Angriffs erhöht.)
• Exploited in the Wild: Nein (Es wurden noch keine bestätigten Angriffe beobachtet.)
• Bewertung der Ausnutzbarkeit: Weniger wahrscheinlich (Obwohl die Schwachstelle unter kontrollierten Bedingungen leicht auszunutzen ist, könnten Angreifer derzeit anderen Schwachstellen den Vorzug geben).
• Proof of Concept (PoC): Potenziell verfügbar (Die öffentliche Bekanntgabe deutet darauf hin, dass PoC-Code privat oder unter Sicherheitsforschern existiert.)

Die Sicherheitsupdates vom Patchday im März 2025

Nachfolgend finden Sie die vollständige Liste der behobenen Schwachstellen in den Updates vom Patchday im März 2025.