Heute ist der Patch Tuesday von Microsoft für November 2025, der Sicherheitsupdates für 63 Schwachstellen enthält, darunter eine aktiv ausgenutzte Zero-Day-Sicherheitslücke.

Dieser Patch Tuesday behebt auch vier „kritische” Sicherheitslücken, von denen zwei Remote-Code-Ausführungslücken sind, eine eine Rechteausweitung und die vierte eine Schwachstelle bei der Offenlegung von Informationen.

Die Anzahl der Fehler in jeder Schwachstellenkategorie ist unten aufgeführt:

• 29 Schwachstellen zur Erhöhung von Berechtigungen
• 2 Schwachstellen zur Umgehung von Sicherheitsfunktionen
• 16 Schwachstellen zur Remote-Codeausführung
• 11 Schwachstellen zur Offenlegung von Informationen
• 3 Schwachstellen zum Denial-of-Service
• 2 Schwachstellen zum Spoofing

Details zur kritischen Zero-Day-Schwachstelle

Der dringlichste Punkt auf der Agenda ist die behobene Zero-Day-Lücke. Ein Zero-Day ist eine Schwachstelle, die den Softwareherstellern noch nicht bekannt war, als sie bereits von Angreifern ausgenutzt wurde. Die Zeitspanne zwischen dem ersten Angriff und dem Patch ist „null Tage“ – daher der Name.

Für den Microsoft Patchday November 2025 betrifft die Zero-Day-Lücke (im Folgenden mit der hypothetischen CVE-Nummer CVE-2025-62215 identifiziert) ein fundamentales Windows-Komponente: den Windows-Kernel.

Technische Zusammenfassung

• Ein Synchronisationsfehler ermöglicht den gleichzeitigen Zugriff auf oder die Änderung von gemeinsam genutzten Kernel-Objekten ohne ordnungsgemäße Sperrung oder Reihenfolge, was zu einer Race Condition (CWE-362) führt. Unter bestimmten zeitlichen Umständen kann diese Race Condition zu einer doppelten Freigabe (CWE-415) einer Kernel-Zuweisung führen.
• Der Gewinn des Wettlaufs kann dazu führen, dass ein Objekt zweimal freigegeben wird oder ein Objekt freigegeben wird, während es noch von einem anderen Thread verwendet wird, was zu einer Beschädigung des Kernel-Heaps führt, z. B. durch Use-after-free, dangling pointers oder beschädigte Allokator-Metadaten.
• Ein Angreifer kann dann Funktionszeiger oder vtable-Zeiger in Kernel-Objekten überschreiben oder den Allokatorstatus erzwingen, sodass vom Angreifer kontrollierte Daten als Kernel-Strukturen verwendet werden. Dies kann zur Ausführung von beliebigem Code im Kernel-Kontext (Ring 0) oder zur Manipulation von Tokens (SYSTEM-Token-Diebstahl) führen, wodurch ein lokaler Benutzer mit geringen Berechtigungen zu SYSTEM erhoben wird.

Umfang und Ausnutzbarkeit

• Betrifft alle unterstützten Versionen von Windows 10 und 11 sowie die entsprechenden Windows Server-Versionen.
• Die Ausnutzung erfordert die lokale Ausführung von Code oder den lokalen Zugriff auf den Rechner.
• Der Angriff hängt vom Gewinn eines Timing-Wettlaufs ab, ist daher komplex und fragil und erfordert präzises Timing, Pool-Grooming und gleichzeitige Threads oder Prozesse.
• Der Angreifer benötigt nur geringe Berechtigungen für das Zielkonto und keine Benutzerinteraktion über seine eigene Aktivität hinaus.
• Die Sicherheitsempfehlung stuft das Problem mit etwa 7,0 (wichtig) ein, was die hohe Auswirkung, aber auch die hohe Komplexität der Ausnutzung widerspiegelt. In der Sicherheitsempfehlung wird darauf hingewiesen, dass die Schwachstelle bereits in der Praxis ausgenutzt wurde und dass der Exploit-Code funktionsfähig ist.

Warum dies in Ketten gefährlich ist

• Ein Fehler bei der Remote-Codeausführung in einem netzwerkseitigen Dienst oder ein Browser-Sandbox-Escape könnte die lokale Codeausführung ermöglichen, die zum Ausführen dieses Kernel-Exploits erforderlich ist, wodurch eine Remote-Kompromittierung zu einer vollständigen SYSTEM-Übernahme führen könnte.
• Browser- oder Anwendungs-Sandbox-Escapes, die in diese Kernel-Elevation einfließen, verwandeln webbasierte Angriffe in eine vollständige Kompromittierung des Geräts.
• Von einer Position mit geringen Privilegien auf einem Host aus können Angreifer zu SYSTEM eskalieren, Anmeldedaten auslesen und sich lateral im Netzwerk bewegen.

Auswirkungen auf das Geschäft

• Kompromittierung kritischer Server wie Domänencontroller oder Dateiserver, was zu einer großflächigen Offenlegung von Anmeldedaten führt.
• Laterale Bewegung und Einsatz von Ransomware mit SYSTEM-Privilegien.
• Regulatorische, finanzielle und Reputationsschäden nach umfangreicher Datenexfiltration oder Betriebsstörungen.

Obwohl die hohe Komplexität das Risiko einer massenhaften Ausnutzung verringert, erhöht das Vorhandensein eines funktionsfähigen Exploits, der in freier Wildbahn eingesetzt wird, die Dringlichkeit. Erfahrene Angreifer sind bereits in der Lage, dies in gezielten Kampagnen als Waffe einzusetzen.

Wichtige Angriffsszenarien

1. Gezielte Eindringversuche: Angreifer verschaffen sich einen lokalen Zugang und führen dann die Kernel-Elevation durch, um die vollständige Kontrolle zu erlangen und sich dauerhaft zu etablieren.
2. Exploit-Verkettung: Ein RCE in einem exponierten Dienst oder Browser, gefolgt von einer lokalen Payload und dieser Kernel-Elevation, was zur Übernahme der Domäne führt.
3. Missbrauch von Cloud und Hosting: Wenn der anfällige Codepfad im Hypervisor- oder VM-Treibercode vorhanden ist, könnte eine Eskalation auf gehosteten Windows-Instanzen Multi-Tenant-Dienste beeinträchtigen. Überprüfen Sie die spezifischen Angaben des Anbieters.

Sofortmaßnahme: Die Behebung dieser Zero-Day-Lücke muss die absolute Priorität in Ihrem Patch-Management-Prozess sein.

Microsoft Office Remote Code Execution (CVE-2025-62199)

Ein Use-after-free-Fehler in der Dokumentenverarbeitung und der Vorschau von Office kann es einem Angreifer ermöglichen, einen Benutzer dazu zu bringen, eine manipulierte Datei zu öffnen oder in der Vorschau anzuzeigen, um beliebigen Code innerhalb des Office-Prozesses auszuführen. Das Problem wird als kritisch eingestuft; die Sicherheitsempfehlung enthält keinen öffentlichen Proof-of-Concept und es wurden keine Exploits in freier Wildbahn beobachtet.

Technische Zusammenfassung

• Grundursache: Ein Use-after-free-Fehler (CWE-416), bei dem Office eine Referenz auf bereits freigegebenen Speicher dereferenziert.
• Ein dangling pointer kann wiederverwendet werden, um vom Angreifer kontrollierte Daten zu platzieren oder Funktionszeiger, vtables oder Callback-Ziele zu überschreiben, wodurch die Ausführung von Code im Office-Prozess unter den Berechtigungen des Benutzers ermöglicht wird.
• Typischer Ablauf: Parsen von manipulierten Inhalten, Auslösen einer vorzeitigen Objektfreigabe, während ein Zeiger aktiv bleibt, anschließende Dereferenzierung führt zur Ausführung von vom Angreifer kontrollierten Daten oder zur Übernahme der Kontrollflusssteuerung.

Betroffene Komponenten

Microsoft Office Desktop (Word, Excel, PowerPoint) und alle Office-Komponenten, die denselben Codepfad verwenden, einschließlich der Vorschau-Leiste, der Outlook-Anhangsvorschau und der lokalen Office-Vorschau-Darstellung in OneDrive oder SharePoint.

Ausnutzbarkeit und CVSS

• CVSS 3.1 um 7,8 (kritisch), was die hohen Auswirkungen mit erforderlichen Benutzeraktionen widerspiegelt.
• Angriffsvektor: lokal, über ein manipuliertes Dokument, das geöffnet oder in der Vorschau angezeigt wird (E-Mail-Anhang, freigegebener Link, synchronisierte Datei, Vorschaufenster).
• Komplexität des Angriffs: gering, das Problem ist nicht zeitabhängig und das manipulierte Dokument löst während der Analyse oder Darstellung einen deterministischen Use-after-free-Angriff aus.
• Erforderliche Berechtigungen: keine.
• Benutzerinteraktion: erforderlich, das Opfer muss die Datei öffnen oder in der Vorschau anzeigen.

Angriffsablauf

1. Der Angreifer erstellt ein bösartiges Office-Dokument, das den Parser oder Renderer manipuliert, um ein Objekt vorzeitig freizugeben.
2. Das Opfer öffnet oder zeigt das Dokument in der Vorschau an und löst damit den anfälligen Codepfad aus.
3. Office dereferenziert den freigegebenen Zeiger; vom Angreifer kontrollierte Daten an dieser Adresse verändern den Kontrollfluss und führen zur Ausführung von beliebigem Code im Office-Prozess.

Ziele und Techniken der Nutzlast

• Gängige Nutzlasten: Erzeugen einer Shell, Ablegen eines Downloaders, Ausführen einer Nutzlast der zweiten Stufe oder Durchführen eines reflektierenden Ladens im Speicher, um Artefakte auf der Festplatte zu vermeiden.
• Unterstützende Techniken: Heap-Spraying über eingebettete Inhalte, Return-Oriented Programming zur Umgehung von DEP und Nutzung von Info-Disclosure-Fehlern zur Umgehung von ASLR.

Öffentliche Bekanntgabe und Ausnutzung

• Öffentlicher PoC: zum Zeitpunkt der Bekanntgabe keiner.
• Ausgenutzt in freier Wildbahn: keine gemeldet.

Mögliche Auswirkungen

Vollständige Kompromittierung der Benutzersitzung, mögliche laterale Bewegung, Diebstahl von Anmeldedaten aus LSA oder gespeicherten Office-Anmeldedaten, Persistenz im Speicher. In Verbindung mit einer Erhöhung der Berechtigungen könnte dies zu einer vollständigen Kompromittierung des Hosts oder der Domäne führen. Zu den Folgen gehören das Sammeln von Anmeldedaten von hochwertigen Benutzern, der Einsatz von Ransomware, der Diebstahl von geistigem Eigentum, die Kompromittierung von E-Mail-Konten für Betrugszwecke und der Missbrauch von Vertrauen in nachgelagerten Bereichen.

Prioritätsbewertung

• Warum dies eine hohe Priorität hat: Geringe Komplexität, keine erforderlichen Berechtigungen und gängige Angriffsvektoren wie E-Mail und das Vorschaufenster machen dies attraktiv für Massen-Phishing und gezielte Kampagnen.
• Warum es noch nicht katastrophal ist: Kein öffentlicher Proof-of-Concept und keine bekannten Exploits in freier Wildbahn verringern das unmittelbare Risiko einer massenhaften Ausnutzung, obwohl sich dies schnell ändern kann.

Worst-Case-Szenario

Eine Phishing-Kampagne, die einen zuverlässigen Exploit für diesen Fehler mit einer verfügbaren Kernel-Rechteausweitung kombiniert, würde zu einer großen Anzahl von kompromittierten Benutzern führen und könnte schnell zu einer vollständigen Übernahme des Hosts oder der Domäne eskalieren.

GDI+ Heap-basierter Pufferüberlauf (CVE-2025-60724)

Ein heap-basierter Pufferüberlauf in der Microsoft Graphics-Komponente (GDI+), der beim Parsen von Metadateien ausgelöst wird, kann ohne Benutzerinteraktion aus der Ferne ausgenutzt werden. Eine speziell gestaltete Metadatei, die in ein Dokument eingebettet oder auf einen Dienst hochgeladen wird, der solche Dateien parst oder rendert, kann zur Remote-Codeausführung im Kontext des Zielprozesses führen.

Technische Zusammenfassung

• Schwachstellenklasse: CWE-122, heap-basierter Pufferüberlauf – Speicher auf dem Heap wird über seine Grenzen hinaus beschrieben.
• Mögliche Ursachen basierend auf gängigen GDI+/Metadatei-Mustern: unzureichende Längen- oder Größenvalidierung beim Parsen von Metadatei-Datensätzen; ganzzahlige Arithmetikfehler, die zu unterzuweisenden Puffern führen; fehlende Validierung der Datensatzgrenzen vor dem Kopieren von Zeichnungsbefehlen variabler Länge oder eingebetteten Blobs.
• Die daraus resultierende Speicherbeschädigung ermöglicht es Angreifern, außerhalb einer Heap-Zuweisung zu schreiben, wodurch benachbarte Heap-Metadaten oder Funktionszeiger überschrieben und der Ausführungsfluss kontrolliert werden können.
• Metadateien sind mit einem hohen Risiko verbunden, da sie ausführbare Zeichenbefehle und Strukturen variabler Länge enthalten und ihre Parser komplex sind.

Umfang und Bewertung

• Kernkomponente: Microsoft Graphics Component (GDI+). Betroffen sind alle Windows-Komponenten oder -Anwendungen, die den anfälligen GDI+-Codepfad zum Parsen oder Rendern von Metadateien verwenden.
• CVSS 3.1: 9,8 (kritisch), was eine aus der Ferne ausnutzbare, schwerwiegende und wenig komplexe Schwachstelle widerspiegelt.

Ausnutzbarkeit und Auswirkungen

• Netzwerkvektor und keine Benutzerinteraktion erforderlich, im Gegensatz zu Office-Vorschau-Fehlern, bei denen der Benutzer Dateien öffnen muss. Ein einziger manipulativer Upload kann einen Dateiverarbeitungsserver kompromittieren.
• Die geringe Komplexität der Ausnutzung erhöht das Risiko einer automatisierten Massenausnutzung oder eines wormbaren Verhaltens, wenn ein Exploit erscheint.
• Die Angriffsfläche ist sehr groß, da viele Komponenten von Erst- und Drittanbietern GDI+ verwenden (Thumbnailer, Drucker, Konvertierungsdienste, Cloud-Vorschau-Dienste). Die Kompromittierung eines zentralisierten Dokument-Rendering-Dienstes kann einen einzigen böswilligen Upload in viele kompromittierte Clients oder einen dauerhaften Server-Fußhalt verwandeln.

Öffentliche Bekanntgabe und beobachtete Ausnutzung

• Öffentlicher PoC: keine gemeldet.
• Beobachtete Ausnutzung: keine gemeldet.

Warum dies ein hochkarätiger Pivot-Bug ist

• Kompromittierung eines eigenständigen Servers: Direkte RCE in einem Serverprozess, der mit SYSTEM oder anderen hohen Berechtigungen ausgeführt wird, führt zur vollständigen Kompromittierung des Hosts, zu lateraler Bewegung und zu Datenexfiltration.
• Massenverteilungsvektor: Ein böswilliger Upload, der von einem zentralen Dienst gerendert wird, kann an viele Clients ausgeliefert werden, was eine Kompromittierung der Lieferkette oder der Inhaltsverteilung ermöglicht.
• Verkettung: RCE gefolgt von Memory Dumping oder LSA-Geheimnisextraktion kann eine laterale Ausbreitung mit gesammelten Anmeldedaten ermöglichen.
• Eskalation und Persistenz: RCE in Kombination mit einem Bug zur Erhöhung von Privilegien könnte es Angreifern ermöglichen, persistente Komponenten auf Kernel-Ebene zu installieren oder Sicherheitstools zu manipulieren.

Warum dies dringend Aufmerksamkeit erfordert

• Ein über das Netzwerk erreichbarer RCE ohne Benutzerinteraktion und mit geringer Komplexität gehört zu den gefährlichsten Arten von Schwachstellen. Das Potenzial für Serverkompromittierungen, Auswirkungen auf Mandanten in Multi-Mandanten-Systemen und schnelle Massenausnutzung machen dies zu einer obersten Priorität für die Risikobewertung.
• Exploit-Entwickler müssen noch zuverlässige Allokator- und Interpreter-Manipulationen für alle Windows-Versionen und Schutzmaßnahmen wie CFG, ASLR und DEP entwickeln, was die Waffenbildung verzögern könnte. Historische GDI+- und Bildanalyse-Fehler wurden jedoch oft schnell zu Waffen umfunktioniert.

Mögliche Motive der Angreifer

• Massenkompromittierung, einschließlich Würmern, Cryptominern oder Ransomware.
• Gezielte Angriffe auf die Infrastruktur zur Dokumentendarstellung.
• Angriffe auf die Lieferkette, die weit verbreitete Rendering-Dienste als Waffe einsetzen.

Microsoft SQL Server – Erhöhung von Berechtigungen (CVE-2025-59499)

Eine über das Netzwerk erreichbare SQL-Injection in der Datenbanknamenverarbeitung von SQL Server ermöglicht es einem authentifizierten Benutzer mit geringen Berechtigungen, beliebige Transact-SQL-Befehle einzuschleusen. Eine erfolgreiche Ausnutzung kann zu einer Eskalation der Berechtigungen für das Dienstkonto führen, unter dem SQL Server ausgeführt wird, wodurch möglicherweise sysadmin- oder SYSTEM-Ebene-Kontrolle gewährt wird.

Technische Zusammenfassung

• Schwachstellenklasse: CWE-89, SQL-Injection.
• Ursache: Datenbankkennungen (Datenbanknamen) werden bei der Verwendung zum Erstellen von internem T-SQL nicht ordnungsgemäß bereinigt oder parametrisiert, sodass ein Angreifer SQL-Steuerzeichen einbetten kann, die die Ausführung von Befehlen auf Serverseite verändern.
• Auswirkung: Injiziertes T-SQL wird in einem privilegierten Serverkontext ausgeführt, was zu sysadmin-Rechten und der Ausführung von Befehlen auf Serverseite führen kann.

Ausnutzbarkeit

• Basisbewertung: 8,8 (wichtig).
• Angriffsvektor: Netzwerk, über direkte TDS-Verbindungen oder über Anwendungen, die betroffene APIs aufrufen.
• Komplexität des Angriffs: gering, Payloads können deterministisch sein.
• Erforderliche Berechtigungen: gering – Angreifer benötigen eine gültige SQL-Authentifizierung oder die Möglichkeit, sich über ein vertrauenswürdiges Anwendungskonto zu verbinden.
• Benutzerinteraktion: keine, sobald der Angreifer manipulierte Befehle senden kann.
• Ausnutzungsreife: unbewiesen, kein öffentlicher Proof-of-Concept und keine beobachteten Ausnutzungen in freier Wildbahn gemeldet.

Wahrscheinlich betroffene Systeme

SQL Server 2016 SP3, 2017, 2019 und 2022 (gemäß Patch-Tabelle von Microsoft).

Warum dies in Ketten gefährlich ist

1. Web-Kompromittierung, dann SQL EoP, wobei eine Web-App-Schwachstelle oder gestohlene Anmeldedaten den ersten Zugriff ermöglichen, der über diesen Fehler auf den Systemadministrator eskaliert wird.
2. SQL EoP zur OS-Kontrolle, z. B. durch Verwendung von xp_cmdshell zum Ausführen von Systembefehlen und anschließender Verkettung mit einer Kernel-Elevation für die vollständige System- oder Domänenkontrolle.
3. Kompromittierung von Dienstkonten, da viele SQL Server-Instanzen unter Domänenkonten ausgeführt werden, was den Diebstahl von Anmeldedaten und laterale Bewegungen ermöglicht.
4. Persistenz und Umgehung durch versteckte Trigger, signierte gespeicherte Prozeduren oder bösartige CLR-Assemblies.

Operative Schwere

Obwohl als Privilegienerweiterung klassifiziert, sind die Auswirkungen auf den Betrieb aufgrund des Netzwerkvektors, der geringen Komplexität und der Möglichkeit einer vollständigen Übernahme der Systemadministrationsrechte ähnlich wie bei einer Remote-Codeausführung auf Datenbankebene. SQL Server enthält häufig die sensibelsten Daten eines Unternehmens, sodass eine erfolgreiche Ausnutzung zu Datendiebstahl, Ransomware und einer weitreichenden lateralen Bewegung führen kann.

Ausblick

Nach der Veröffentlichung der Sicherheitsempfehlung ist mit einer raschen Erforschung des Exploits zu rechnen. SQL-Injection-Vektoren sind oft reproduzierbar, sodass Proof-of-Concepts schnell verfügbar sein können. Diese Schwachstelle stellt ein hohes Risiko für Umgebungen mit gemeinsam genutzten SQL-Servern, flachen Netzwerken oder schwacher Berechtigungsverwaltung dar.

Die Patch Tuesday-Sicherheitsupdates vom November 2025

Nachfolgend finden Sie die vollständige Liste der behobenen Schwachstellen in den Patch Tuesday-Updates vom November 2025.

Der zweite Dienstag im Monat ist für Systemadministratoren und IT-Sicherheitsexperten traditionell ein Tag der erhöhten Wachsamkeit – der Patchday. Dieses Ritual, das im Jahr 2003 von Microsoft eingeführt wurde, ist weit mehr als nur eine Routine; es ist eine entscheidende Maßnahme, um die digitale Infrastruktur vor ständigen Bedrohungen zu schützen. Der Patchday im September 2025 bestätigt diese Dringlichkeit eindrucksvoll. Mit insgesamt 81 behobenen Sicherheitslücken, darunter zwei Zero-Day-Schwachstellen, die bereits aktiv ausgenutzt werden, signalisiert Microsoft, dass sofortiges Handeln erforderlich ist.

Für jeden, der für die Sicherheit von IT-Systemen verantwortlich ist, ist es unerlässlich, die Details dieser Updates zu verstehen und einen klaren Plan für die Implementierung zu haben. In diesem umfassenden Guide analysieren wir die wichtigsten Aspekte des Patchday im September 2025, stellen Ihnen eine detaillierte Checkliste für die Systemadministration zur Verfügung und geben Ihnen wertvolle Tipps für ein effektives und nachhaltiges Patch-Management. Verlassen Sie sich nicht auf die bloße Hoffnung, dass alles gut geht; übernehmen Sie die Kontrolle über Ihre Netzwerksicherheit und schützen Sie Ihre kritischen Assets.

Eine detaillierte Analyse des Patchday September 2025

Die Anzahl der Fehler in jeder Schwachstellenkategorie ist unten aufgeführt:

• 41 Schwachstellen zur Erhöhung von Berechtigungen
• 2 Schwachstellen zur Umgehung von Sicherheitsfunktionen
• 22 Schwachstellen zur Remote-Codeausführung
• 16 Schwachstellen zur Offenlegung von Informationen
• 3 Schwachstellen zum Denial-of-Service
• 1 Schwachstelle zum Spoofing

Ein Überblick über die verschiedenen Kategorien der behobenen Schwachstellen zeigt, dass Microsoft in nahezu allen Produktbereichen aktiv war:

• Windows-Komponenten: Behebung von Lücken in Windows Hyper-V, TCP/IP-Stack, GDI und dem NTFS-Dateisystem.
• Microsoft Office & Office-Komponenten: Patches für Excel, Word und SharePoint, die hauptsächlich das Risiko von Remote Code Execution minimieren.
• Entwicklungstools: Updates für Visual Studio und das .NET Framework.
• Weitere Produkte: Wichtige Korrekturen für Microsoft Edge (basierend auf Chromium), Azure und Microsoft Dynamics.

Die Zahlen im Überblick: Wie viele Schwachstellen wurden behoben?

Die Gesamtzahl von 81 Sicherheitslücken ist bemerkenswert. Eine Aufschlüsselung nach Kritikalität gibt einen klaren Einblick in die Prioritäten, die Sie setzen sollten:

• 20 als „kritisch“ eingestufte Schwachstellen: Diese Lücken sind die gefährlichsten. Sie können in der Regel ohne Benutzerinteraktion aus der Ferne ausgenutzt werden, um Code auf dem System auszuführen. Ein erfolgreicher Angriff könnte zur vollständigen Kompromittierung des Systems führen.
• 61 als „wichtig“ eingestufte Schwachstellen: Obwohl sie weniger schwerwiegend sind als kritische Lücken, stellen sie immer noch ein erhebliches Risiko dar. Ihre Ausnutzung könnte beispielsweise zu Informationslecks, Denial-of-Service (DoS)-Angriffen oder Privilegienerweiterungen führen. In der Praxis können auch „wichtige“ Schwachstellen das Einfallstor für spätere, komplexere Angriffe sein.

Die Tatsache, dass 20 Lücken als kritisch eingestuft wurden, unterstreicht die Notwendigkeit, Ihre Aufmerksamkeit sofort auf diese Updates zu lenken. Eine verzögerte Reaktion könnte Ihre Organisation erheblichen Risiken aussetzen.

Die gefährlichsten Schwachstellen und Zero-Days

Das wohl alarmierendste Detail des Patchday im September 2025 ist die Behebung von zwei Zero-Day-Schwachstellen, die bereits vor der Veröffentlichung der Patches aktiv ausgenutzt wurden. Eine Zero-Day-Lücke ist eine Schwachstelle, die der Softwarehersteller noch nicht kennt oder für die noch kein offizieller Patch existiert, während sie bereits von Angreifern ausgenutzt wird. Die sofortige Behebung dieser Lücken ist von höchster Priorität.

CVE-2025-55234 – Windows SMB-Sicherheitslücke zur Erhöhung von Berechtigungen

Die erste Zero-Day-Sicherheitslücke, CVE-2025-55234, ist ein schwerwiegender Fehler im Windows Server Message Block (SMB)-Protokoll im Zusammenhang mit Authentifizierungs-Relay-Angriffen. Er entsteht durch eine unsachgemäße Authentifizierung (CWE-287), die es Angreifern ermöglicht, legitime Anmeldedaten zwischen Diensten abzufangen und weiterzuleiten.

Das Problem besteht, weil SMB-Sitzungen ohne ordnungsgemäße Validierung des Authentifizierungskontexts eingerichtet werden können, wenn die SMB-Signierung und der erweiterte Schutz für die Authentifizierung nicht korrekt konfiguriert sind. Dadurch ist es möglich, Man-in-the-Middle-Relay-Angriffe zu starten, indem erfasste Authentifizierungsdaten weitergeleitet werden, um sich unbefugten Zugriff zu verschaffen.

Betroffene Systeme

• Windows Server (alle unterstützten Versionen)
• Windows Client (Windows 10, 11)

Angriffsdetails

• Angriffsvektor: Netzwerk
• Komplexität des Angriffs: gering
• Erforderliche Berechtigungen: keine
• Benutzerinteraktion: erforderlich

Die Schwachstelle hat einen CVSS-Basiswert von 8,8 (hoch) und einen temporären Wert von 7,7, basierend auf aktuellen mildernden Faktoren.

Ausnutzungsstatus

• In freier Wildbahn: Derzeit nicht beobachtet
• Öffentliche Bekanntgabe: Ja
• Microsoft-Ausnutzungsbewertung: Eher wahrscheinlich, basierend auf früheren SMB-Relay-Angriffsmustern

Risikoszenarien

Diese Schwachstelle wird in Kombination mit anderen Techniken deutlich gefährlicher:

1. Erster Zugriff: Kann mit Phishing kombiniert werden, um Benutzer dazu zu verleiten, sich mit einem bösartigen SMB-Server zu verbinden.
2. Seitliche Bewegung: Erfasste Anmeldedaten können im gesamten Netzwerk wiederverwendet werden, insbesondere in Umgebungen mit vielen Administratoren.
3. Privilegieneskalation: Die Weiterleitung der Authentifizierung von privilegierten Konten wie Domänenadministratoren kann einen hohen Zugriff gewähren.
4. NTLM-Relay: Es verstärkt bestehende NTLM-Relay-Angriffe, indem es einige aktuelle Schutzmaßnahmen umgeht.
5. Mehrstufige Angriffskette: Kann in einer breiter angelegten Kampagne eingesetzt werden: Phishing, SMB-Relay, Diebstahl von Anmeldedaten, laterale Bewegung und Datenexfiltration.

Mögliche Auswirkungen

• Unternehmensumgebungen: Die meisten mittleren bis großen Unternehmen, die Active Directory und Windows Server verwenden
• Kritische Sektoren: Behörden, Gesundheitswesen, Finanzinstitute und andere mit weit verbreiteter Windows-Infrastruktur
• KMUs: Oft anfällig aufgrund begrenzter Ressourcen für eine angemessene Absicherung von KMUs

Dies ist eine bekannte, aber nach wie vor sehr effektive Technik. Ihre Beständigkeit ist auf mehrere Faktoren zurückzuführen:

• SMB ist nach wie vor tief in Unternehmensumgebungen verankert
• Viele Unternehmen haben Schwierigkeiten, eine Absicherung durchzusetzen, ohne bestehende Arbeitsabläufe zu stören
• Relay-Angriffe sind oft erfolgreich, da sie echte Anmeldedaten nutzen, um die Authentifizierung zu umgehen
• Hohes Potenzial für die Eskalation von Berechtigungen in Systemen mit vielen Administratoren

Microsoft hat diese CVE zwar in erster Linie zur Unterstützung von Audits veröffentlicht, sie macht jedoch deutlich, dass Authentifizierungs-Relays auch im Jahr 2025 ein echtes Problem darstellen. Unternehmen mit komplexen Infrastrukturen müssen bei der Anwendung von SMB-Hardening ein Gleichgewicht zwischen Sicherheits- und Betriebsanforderungen finden. Der CVSS-Score von 8,8 spiegelt die Schwere wider, obwohl die Notwendigkeit von Benutzerinteraktion und Netzwerkzugang das Angriffsfenster einschränkt.

CVE-2024-21907 – Newtonsoft.Json-Sicherheitslücke aufgrund außergewöhnlicher Bedingungen

Diese Zero-Day-Sicherheitslücke steht im Zusammenhang mit einer älteren CVE, CVE-2024-21907, die Newtonsoft.Json (auch bekannt als Json.NET) betrifft, eine der am häufigsten verwendeten JSON-Serialisierungsbibliotheken im .NET-Ökosystem. Das Problem liegt darin, wie die Bibliothek Ausnahmebedingungen während der Deserialisierung behandelt, insbesondere in der Methode JsonConvert.DeserializeObject.

Die Sicherheitslücke wird durch die rekursive Verarbeitung von manipulierten JSON-Daten verursacht, die einen unbegrenzten Stack-Verbrauch auslösen und zu einer StackOverflowException führen kann. Der Parser überprüft die Tiefe nicht ordnungsgemäß und behandelt Rekursion nicht richtig, wenn er mit bestimmten bösartigen JSON-Strukturen arbeitet. Infolgedessen verarbeitet er tief verschachtelte Payloads ohne Einschränkung und erschöpft den Aufrufstapel.

Betroffene Systeme:

SQL Server-Instanzen, die anfällige Newtonsoft.Json-Komponenten enthalten

Angriffsdetails:

• Angriffsvektor: Netzwerkbasiert (wahrscheinlich AV:N)
• Angriffskomplexität: Gering (wahrscheinlich AC:L)
• Erforderliche Berechtigungen: Keine (wahrscheinlich PR:N)

CVSS-Übersicht:

Es wird keine formale CVSS-Bewertung angegeben, aber basierend auf ähnlichen Fällen liegt die Basisbewertung wahrscheinlich bei etwa 7,5 (hoch), wobei die Hauptwirkung aufgrund von Denial-of-Service auf die Verfügbarkeit entfällt.

Ausnutzungsstatus:

• Derzeit nicht in freier Wildbahn ausgenutzt
• Öffentlich bekannt gegeben
• Im CVE-Bericht als „Ausnutzung weniger wahrscheinlich” bewertet

Trotz ihrer Einfachheit kann diese Schwachstelle in komplexen Angriffsszenarien eine ernsthafte Rolle spielen:

1. API-fokussierte DoS-Angriffe: Ein Angreifer könnte kritische API-Endpunkte, die Newtonsoft.Json zum Parsen verwenden, zum Absturz bringen.
2. Störung von Microservices: In verteilten Systemen kann die Abschaltung eines anfälligen Dienstes zu Ausfällen in abhängigen Diensten führen.
3. Verstärkt durch Umgehung der Ratenbegrenzung: In Kombination mit Techniken zur Umgehung der Ratenbegrenzung könnte die Auswirkung des Denial-of-Service-Angriffs erheblich größer sein.
4. Verwendung mit Authentifizierungsumgehung: In Kombination mit einer Authentifizierungsumgehungsschwachstelle könnten Angreifer interne APIs angreifen, die sensible Vorgänge ausführen.
5. Deckung für andere Angriffe: Der Denial-of-Service-Effekt könnte von anderen laufenden Exploits ablenken.

Newtonsoft.Json wird weltweit in Millionen von Anwendungen verwendet. Mit über 40 Millionen NuGet-Downloads ist seine Verbreitung enorm. Das macht dies zu einem hochriskanten Problem, auch wenn es derzeit als weniger wahrscheinlich eingestuft wird, dass es ausgenutzt wird.

Einige wichtige Punkte, die diese Schwachstelle besonders schwerwiegend machen:

1. Newtonsoft.Json ist in der .NET-Welt nahezu universell verbreitet.
2. Der Exploit ist einfach zu erstellen und erfordert nur eine tief verschachtelte JSON-Nutzlast.
3. Das Ergebnis ist eine vollständige Unterbrechung des Dienstes, da eine StackOverflowException den Prozess zum Absturz bringt.
4. Die Erkennung ist schwierig. Die meisten WAFs und API-Gateways erkennen diese Art von Payload nicht.

Das Risiko wird dadurch verschärft, dass viele Unternehmen möglicherweise nicht wissen, dass sie anfällige Versionen verwenden, insbesondere wenn Newtonsoft.Json als transitive Abhängigkeit eingebunden ist. Der SQL Server-Aspekt erhöht die Komplexität zusätzlich, da Datenbankteams in der Regel keine Probleme im Zusammenhang mit der JSON-Parsing überwachen.

Jeder dieser Patches schließt potenziell gefährliche Einfallstore für Angreifer. Die Vielfalt der betroffenen Produkte unterstreicht die Wichtigkeit eines ganzheitlichen Patch-Managements, das nicht nur Windows-Betriebssysteme, sondern die gesamte Microsoft-Softwarelandschaft umfasst.

Die Sicherheitsupdates vom Patch Tuesday im September 2025

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im September 2025.

Quelle: microsoft.com

Microsoft März 2025 Patch Tuesday behebt 7 Zero-Days und 57 Schwachstellen

Es ist Microsofts März 2025 Patch Tuesday, der Sicherheitsupdates für 57 Schwachstellen enthält, darunter sechs aktiv ausgenutzte Zero-Day-Schwachstellen.

An diesem Patch-Dienstag werden außerdem sechs „kritische“ Sicherheitslücken behoben, bei denen es sich um Sicherheitslücken handelt, die Remotecodeausführung ermöglichen.

Die Anzahl der Fehler in den einzelnen Sicherheitskategorien ist unten aufgeführt:

• 23 Anfälligkeiten für die Erhöhung von Privilegien
• 3 Anfälligkeiten für die Umgehung von Sicherheitsfunktionen
• 23 Sicherheitslücken durch Remotecode-Ausführung
• 4 Schwachstellen in Bezug auf die Offenlegung von Informationen
• 1 Denial-of-Service-Schwachstellen
• 3 Spoofing-Schwachstellen

In den oben genannten Zahlen sind die Mariner-Schwachstellen und die 10 Microsoft Edge-Schwachstellen, die Anfang dieses Monats behoben wurden, nicht enthalten.

Sechs aktiv ausgenutzte Sicherheitslücken

Der diesmonatige Patch Tuesday behebt sechs aktiv ausgenutzte Zero-Days und einen, der öffentlich bekannt wurde, insgesamt also sieben Zero-Days.

Microsoft stuft einen Zero-Day-Fehler als öffentlich bekannt oder aktiv ausgenutzt ein, solange kein offizieller Fix verfügbar ist.

Einige der aktiv ausgenutzten Zero-Days stehen im Zusammenhang mit Windows NTFS-Fehlern, die das Mounten von VHD-Laufwerken betreffen.

Die aktiv ausgenutzten Zero-Day-Schwachstellen in den heutigen Updates sind:

CVE-2025-24983 – Windows Win32 Kernel Subsystem Elevation of Privilege Vulnerability

Laut Microsoft ermöglicht diese Sicherheitsanfälligkeit lokalen Angreifern die Erlangung von SYSTEM-Privilegien auf dem Gerät, nachdem sie eine Race Condition gewonnen haben.

Microsoft hat nicht mitgeteilt, wie die Schwachstelle in Angriffen ausgenutzt wurde. Da die Schwachstelle jedoch von Filip Jurčacko von ESET entdeckt wurde, werden wir wahrscheinlich in einem zukünftigen Bericht mehr erfahren.

CVE-2025-24984 – Windows NTFS Information Disclosure Vulnerability

Laut Microsoft kann diese Schwachstelle von Angreifern ausgenutzt werden, die physischen Zugriff auf das Gerät haben und ein bösartiges USB-Laufwerk einstecken.

Durch Ausnutzung der Schwachstelle können Angreifer Teile des Heap-Speichers lesen und Informationen stehlen.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die NTFS verwenden und in Unternehmensumgebungen weit verbreitet sind.
• Auswirkungen: Angreifer mit physischem Zugriff können Teile des Heap-Speichers extrahieren und so möglicherweise vertrauliche Informationen wie kryptografische Schlüssel, Token oder zwischengespeicherte Anmeldeinformationen abrufen.
• CVSS-Score: Basis 4.6, Temporal 4.3
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja („Exploitation Detected“)
• Proof of Concept (PoC): Gibt es wahrscheinlich im privaten Kreis von Bedrohungsakteuren.

Details zur Ausnutzung:

• Angriffsvektor: Physisch (erfordert direkten Zugriff, z. B. über USB-Stecker).
• Komplexität des Angriffs: Gering
• Erforderliche Privilegien: Keine

CVE-2025-24985 – Windows Fast FAT File System Driver – Sicherheitsanfälligkeit bei Remotecodeausführung

Laut Microsoft wird diese Sicherheitsanfälligkeit für Remotecodeausführung durch einen Integer-Überlauf oder Wraparound im Windows Fast FAT-Treiber verursacht, der es einem Angreifer ermöglicht, Code auszuführen.

„Ein Angreifer kann einen lokalen Benutzer auf einem anfälligen System dazu bringen, eine speziell gestaltete VHD zu mounten, die dann die Sicherheitslücke auslöst“, erklärt Microsoft.

Microsoft hat zwar keine Einzelheiten darüber bekannt gegeben, wie die Schwachstelle ausgenutzt wurde, aber bösartige VHD-Images wurden zuvor in Phishing-Angriffen und über Raubkopien-Websites verbreitet.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die FAT/FAT32 unterstützen (weit verbreitet für ältere Kompatibilität und Wechselspeicher).
• Auswirkungen: Kompromittierung des gesamten Systems durch Ausführung auf Kernel-Ebene.
• CVSS-Score: Base 7.8, Temporal 7.2
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja
• PoC: Wahrscheinlich in Kreisen fortgeschrittener Bedrohungsakteure aktiv.

Details zur Ausnutzung:

• Angriffsvektor: Lokal (bösartige FAT-formatierte VHD-Datei).
• Komplexität des Angriffs: Niedrig
• Erforderliche Privilegien: Keine
• Benutzer-Interaktion: Erforderlich (das Opfer muss die bösartige VHD mounten).

CVE-2025-24991 – Windows NTFS Information Disclosure Vulnerability

Laut Microsoft können Angreifer diese Schwachstelle ausnutzen, um kleine Teile des Heap-Speichers zu lesen und Informationen zu stehlen.

Angreifer können die Schwachstelle ausnutzen, indem sie einen Benutzer dazu verleiten, eine bösartige VHD-Datei zu mounten.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die NTFS verwenden.
• Auswirkungen: Mögliche Offenlegung sensibler Kernel-Daten, einschließlich kryptografischer Schlüssel, Token und Dateiinhalte.
• CVSS-Score: Base 5.5, Temporal 5.1
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja
• PoC: Wahrscheinlich unter Bedrohungsakteuren verfügbar.

Details zur Ausnutzung:

• Angriffsvektor: Lokal (böswillig erstellte VHD-Datei).
• Komplexität des Angriffs: Gering
• Erforderliche Privilegien: Keine
• Benutzer-Interaktion: Erforderlich (das Opfer muss die bösartige VHD mounten).

CVE-2025-24993 – Windows NTFS-Schwachstelle für Remotecodeausführung

Laut Microsoft wird diese Sicherheitsanfälligkeit für Remotecodeausführung durch einen Heap-basierten Pufferüberlauf in Windows NTFS verursacht, der einem Angreifer die Ausführung von Code ermöglicht.

„Ein Angreifer kann einen lokalen Benutzer auf einem anfälligen System dazu bringen, eine speziell gestaltete VHD zu mounten, die dann die Sicherheitslücke auslöst“, erklärt Microsoft.

Microsoft sagt, dass diese Schwachstelle anonym bekannt gemacht wurde.

• Betroffene Systeme: Alle Windows-Systeme, die NTFS verwenden.
• Auswirkungen: Vollständige Systemkompromittierung; Code-Ausführung mit Berechtigungen auf Treiberebene kann Zugriff auf die Kernel-Ebene ermöglichen.
• CVSS-Score: Base 7.8, Temporal 7.2
• Öffentlich bekannt gegeben: Nein
• In freier Wildbahn ausgenutzt: Ja (aktive Ausnutzung entdeckt)
• PoC: Höchstwahrscheinlich, da die Ausnutzung bestätigt wurde.

Details zur Ausnutzung:

• Angriffsvektor: Lokal (böswillig erstellte VHD-Datei).
• Komplexität des Angriffs: Niedrig
• Erforderliche Privilegien: Keine (die Privilegien des Opfers reichen aus).
• Benutzerinteraktion: Erforderlich (das Opfer muss die bösartige VHD mounten).

CVE-2025-26633 – Microsoft Management Console Security Feature Bypass Vulnerability

Microsoft hat zwar keine Einzelheiten zu dieser Schwachstelle bekannt gegeben, doch der Beschreibung nach könnte es sich um einen Fehler handeln, der es böswilligen Microsoft Management Console (.msc)-Dateien ermöglicht, die Windows-Sicherheitsfunktionen zu umgehen und Code auszuführen.

„In einem E-Mail- oder Instant-Messaging-Angriffsszenario könnte der Angreifer dem anvisierten Benutzer eine speziell gestaltete Datei senden, mit der die Sicherheitslücke ausgenutzt werden kann“, erklärt Microsoft.

„In jedem Fall hätte ein Angreifer keine Möglichkeit, einen Benutzer dazu zu zwingen, vom Angreifer kontrollierte Inhalte anzusehen. Stattdessen müsste ein Angreifer den Benutzer zu einer Aktion überreden. Beispielsweise könnte ein Angreifer einen Benutzer dazu verleiten, entweder auf einen Link zu klicken, der den Benutzer auf die Website des Angreifers leitet, oder einen bösartigen Anhang zu senden.“

Laut Microsoft hat Aliakbar Zahravi von Trend Micro diese Schwachstelle entdeckt.

Auswirkung

• Angreifer können die Sicherheitsfunktionen umgehen und so unbefugte Aktionen ausführen.
• Von MMC erzwungene Sicherheitsrichtlinien können umgangen werden, was zu langfristiger Persistenz und heimlichen bösartigen Aktivitäten führen kann.
• Kann mit anderen Einstiegsschwachstellen (z. B. browser- oder dokumentenbasierten Exploits) kombiniert werden, um vor eskalierenden Angriffen Fuß zu fassen.

CVSS-Metriken (CVSS 3.1 Score: Base 7.0, Temporal 6.5)

• Angriffsvektor: Lokal (Angreifer müssen ihre Nutzdaten auf dem System des Opfers ausführen, oft über Social Engineering oder File-Sharing).
• Angriffskomplexität: Hoch (Die Ausnutzung erfordert eine präzise Einrichtung und Ausrichtung, was eine massenhafte Ausnutzung unwahrscheinlich macht).
• Erforderliche Privilegien: Keine (Angreifer benötigen keine vorherigen Systemberechtigungen, um diese Schwachstelle auszunutzen).
• Benutzerinteraktion: Erforderlich (Die Opfer müssen eine bösartige MMC-Datei öffnen, die in der Regel durch Phishing oder Social Engineering bereitgestellt wird).

Ausnutzungsstatus

• Öffentliche Bekanntgabe: Nein (Details sind noch nicht bekannt, was weit verbreitete Angriffe vorerst einschränkt).
• In freier Wildbahn ausgenutzt: Ja (Microsoft hat bestätigt, dass die Schwachstelle in der Praxis ausgenutzt wird.)
• Proof of Concept (PoC): Existiert (Bestätigte funktionale Ausnutzung, jedoch nicht öffentlich verfügbar).

CVE-2025-26630 – Microsoft Access-Schwachstelle mit Remotecode-Ausführung

Laut Microsoft wird diese Schwachstelle bei der Remotecodeausführung durch einen Fehler bei der Verwendung von freiem Speicher in Microsoft Office Access verursacht.

Um die Schwachstelle auszunutzen, muss ein Benutzer dazu verleitet werden, eine speziell gestaltete Access-Datei zu öffnen. Dies kann durch Phishing- oder Social-Engineering-Angriffe geschehen.

Die Schwachstelle kann jedoch nicht über das Vorschaufenster ausgenutzt werden.

Laut Microsoft wurde die Schwachstelle von Unpatched.ai entdeckt.

Betroffene Systeme

Alle unterstützten Versionen von Microsoft Access, einer weit verbreiteten Komponente der Microsoft Office-Suite für die Datenbankverwaltung.

Ausnutzungsdetails

• Angriffsvektor: Lokal (Die Nutzlast wird auf dem Gerät des Opfers ausgeführt; Angreifer müssen Benutzer dazu bringen, bösartige Dateien zu öffnen).
• Komplexität des Angriffs: Gering (Sobald ein Opfer eine manipulierte Access-Datei öffnet, erfolgt die Ausführung zuverlässig ohne zusätzliche Bedingungen).
• Erforderliche Privilegien: Keine (Angreifer benötigen keinen vorherigen Systemzugriff, so dass Standard-Benutzerkonten angreifbar sind.)
• Benutzerinteraktion: Erforderlich (Das Opfer muss eine bösartige Access-Datei öffnen, die in der Regel über Phishing oder Social Engineering bereitgestellt wird).

Schweregrad und Ausnutzungsstatus

• CVSS Base Score: 7.8 (Hoch)
• CVSS Temporal Score: 6.8
• Öffentlich bekannt gegeben: Ja (Details sind öffentlich bekannt, was das Risiko eines Angriffs erhöht.)
• Exploited in the Wild: Nein (Es wurden noch keine bestätigten Angriffe beobachtet.)
• Bewertung der Ausnutzbarkeit: Weniger wahrscheinlich (Obwohl die Schwachstelle unter kontrollierten Bedingungen leicht auszunutzen ist, könnten Angreifer derzeit anderen Schwachstellen den Vorzug geben).
• Proof of Concept (PoC): Potenziell verfügbar (Die öffentliche Bekanntgabe deutet darauf hin, dass PoC-Code privat oder unter Sicherheitsforschern existiert.)

Die Sicherheitsupdates vom Patchday im März 2025

Nachfolgend finden Sie die vollständige Liste der behobenen Schwachstellen in den Updates vom Patchday im März 2025.