Microsoft Patch Tuesday: Ein 0-Tag; Win 7 und 8.1 erhalten die allerletzten Patches

Microsoft Patch Tuesday: Ein 0-Tag; Win 7 und 8.1 erhalten die allerletzten Patches

Zeitstempel: 10. Januar 2023, 7:22 Uhr
Quellknoten: 1893812
by Paul Ducklin

Soweit wir das beurteilen können, gibt es eine satte 2874 Artikel in der diesmonatigen Patchday-Update-Liste von Microsoft, basierend auf dem CSV-Download, den wir gerade von Redmond's erhalten haben Leitfaden für Sicherheitsupdates Web-Seite.

(Die Website selbst sagt 2283, aber der CSV-Export enthielt 2875 Zeilen, wobei die erste Zeile eigentlich kein Datensatz ist, sondern eine Liste der verschiedenen Feldnamen für die restlichen Zeilen in der Datei.)

Unübersehbar ganz oben auf der Liste stehen die Namen in der Produkt Spalte der ersten neun Einträge, die sich mit einem EoP-Patch (Elevation of Privilege) mit der Bezeichnung CVE-2013-21773 befasst Windows 7, Windows 8.1 und Windows-RT 8.1.

Windows 7 war, wie sich viele Leute erinnern werden, zu seiner Zeit extrem beliebt (manche halten es sogar für das beste Windows aller Zeiten) und lockte schließlich sogar eingefleischte Fans von Windows XP, als die Unterstützung für XP endete.

Windows 8.1, das eher als eine Art „Bug-Fix“-Release für das unbeklagte und seit langem eingestellte Windows 8 in Erinnerung bleibt, denn als eigenständige echte Windows-Version, hat sich nie wirklich durchgesetzt.

Und Windows RT 8.1 war alles, was die Leute in der regulären Version von Windows 8.1 nicht mochten, aber es lief auf proprietärer ARM-basierter Hardware, die streng gesperrt war, wie ein iPhone oder ein iPad – etwas, an das Windows-Benutzer auch nicht gewöhnt waren , der Marktreaktion nach zu urteilen, etwas, das viele Menschen bereit waren zu akzeptieren.

In der Tat werden Sie manchmal lesen dass die vergleichsweise Unbeliebtheit von Windows 8 der Grund dafür ist, dass die nächste Hauptversion nach 8.1 Windows 10 nummeriert wurde, wodurch bewusst ein Gefühl der Trennung zwischen der alten Version und der neuen geschaffen wurde.

Andere Erklärungen beinhalten das Windows 10 sollte der vollständige Name des Produkts sein, damit die 10 war Teil des brandneuen Produktnamens und nicht nur eine Zahl, die dem Namen hinzugefügt wurde, um eine Version zu bezeichnen. Das spätere Erscheinen von Windows 11 machte dieser Theorie einen Strich durch die Rechnung – aber es gab nie ein Windows 9.

Das Ende zweier Epochen

Vergießen Sie jetzt Ihre Tränen, denn diesen Monat gibt es die allerletzten Sicherheitsupdates für die Old-School-Versionen von Windows 7 und Windows 8.1.

Windows 7 hat jetzt das Ende seiner dreijährigen Pay-Extra-to-get-ESU-Periode erreicht (ESU ist die Abkürzung für Erweiterte Sicherheitsupdates) und Windows 8.1 einfach erhält keine erweiterten Updates, anscheinend egal, wie viel Sie bereit sind zu zahlen:

Zur Erinnerung: Der Support für Windows 8.1 endet am 10. Januar 2023 [2023-01-10], ab diesem Zeitpunkt werden keine technische Unterstützung und Software-Updates mehr bereitgestellt. […]

Microsoft wird kein Extended Security Update (ESU)-Programm für Windows 8.1 anbieten. Die weitere Verwendung von Windows 8.1 nach dem 10. Januar 2023 kann die Gefährdung einer Organisation durch Sicherheitsrisiken erhöhen oder ihre Fähigkeit beeinträchtigen, Compliance-Verpflichtungen zu erfüllen.

Es ist also wirklich das Ende der Ära von Windows 7 und Windows 8.1, und alle Betriebssystemfehler, die auf Computern verbleiben, auf denen diese Versionen noch ausgeführt werden, werden für immer vorhanden sein.

Denken Sie natürlich daran, dass diese beiden Plattformen trotz ihres Alters noch in diesem Monat Patches für Dutzende verschiedener Schwachstellen mit CVE-Nummern erhalten haben: 42 CVEs im Fall von Windows 7 und 48 CVEs im Fall von Windows 8.1.

Auch wenn aktuelle Bedrohungsforscher und Cyberkriminelle nicht explizit nach Fehlern in alten Windows-Builds suchen, könnten sich Fehler, die zuerst von Angreifern gefunden werden, die in den allerneuesten Build von Windows 11 graben, als von Legacy-Code geerbt erweisen.

Tatsächlich stehen die CVE-Zahlen von 42 und 48 oben im Vergleich zu insgesamt 90 verschiedenen CVEs, die auf Microsofts offizieller Liste aufgeführt sind Versionshinweise für Januar 2023 Seite, was ungefähr darauf hindeutet, dass etwa die Hälfte der heutigen Fehler (in der Liste dieses Monats haben alle 90 CVE-2023-XXXX-Datumsbezeichner) seit mindestens einem Jahrzehnt darauf warten, in Windows gefunden zu werden.

Mit anderen Worten, ebenso wie sich in alten Versionen entdeckte Fehler immer noch auf die neuesten und besten Versionen auswirken können, werden Sie auch oft feststellen, dass „neue“ Fehler weit zurückreichen und in Exploits nachgerüstet werden können, die auf alten Versionen funktionieren Windows-Versionen auch.

Ironischerweise können „neue“ Fehler in älteren Versionen letztendlich einfacher ausgenutzt werden, aufgrund der weniger restriktiven Software-Build-Einstellungen und liberaleren Laufzeitkonfigurationen, die damals als akzeptabel galten.

Ältere Laptops mit weniger Speicher als heute wurden normalerweise mit 32-Bit-Versionen von Windows eingerichtet, selbst wenn sie 64-Bit-Prozessoren hatten. Einige Techniken zur Bedrohungsminderung, insbesondere solche, bei denen die Orte, an denen Programme im Speicher landen, zufällig ausgewählt werden, um die Vorhersagbarkeit zu verringern und das zuverlässige Ausführen von Exploits zu erschweren, sind in der Regel unter 32-Bit-Windows weniger effektiv, einfach weil es weniger Speicheradressen gibt wählen von. Wie beim Versteckspiel gilt: Je mehr mögliche Versteckmöglichkeiten vorhanden sind, desto länger dauert es im Allgemeinen, Sie zu finden.

„Ausbeutung festgestellt“

Laut Bleeping Computer sind nur zwei der in diesem Monat bekannt gewordenen Schwachstellen als "in-the-wild" gelistet, mit anderen Worten außen bekannt Microsoft und die unmittelbare Forschungsgemeinschaft:

  • CVE-2023-21674: Windows Advanced Local Procedure Call (ALPC) Sicherheitsanfälligkeit bezüglich Erhöhung von Berechtigungen. Verwirrenderweise wird dieser als aufgeführt Öffentlich bekannt gegeben: nein, Aber Ausbeutung festgestellt. Aus diesem Grund gehen wir davon aus, dass Cyberkriminelle bereits wissen, wie man diesen Fehler ausnutzt, aber sie behalten die Details des Exploits sorgfältig für sich, vermutlich um es für Threat Responder schwieriger zu machen, zu wissen, wonach sie auf Systemen suchen müssen, die dies noch nicht getan haben noch gepatcht.
  • CVE-2023-21549: Windows SMB Witness Service Sicherheitsanfälligkeit bezüglich Erhöhung von Berechtigungen. Dieser ist gekennzeichnet Öffentlich bekannt gegeben, aber trotzdem geschrieben als Ausbeutung weniger wahrscheinlich. Daraus schließen wir, dass selbst wenn Ihnen jemand sagt, wo sich der Fehler befindet und wie Sie ihn auslösen könnten, es schwierig sein wird, herauszufinden, wie Sie den Fehler erfolgreich ausnutzen und tatsächlich eine Erhöhung der Berechtigungen erreichen können.

Interessanterweise steht der CVE-2023-21674-Bug, der von Angreifern aktiv verwendet wird, nicht auf der Patch-Liste von Windows 7, betrifft aber Windows 8.1.

Der zweite Fehler, CVE-2023-21549, der als öffentlich bekannt beschrieben wird, betrifft sowohl Windows 7 als auch Windows 8.1.

Wie wir oben gesagt haben, sind neu entdeckte Fehler oft ein langer Weg.

CVE-2023-21674 gilt von Windows 8.1 bis zu den allerneuesten Builds von Windows 11 2022H2 (H2, falls Sie sich das fragen, bedeutet „die in der zweiten Jahreshälfte herausgegebene Version“).

Noch dramatischer, CVE-2023-21549 gilt direkt von Windows 7 bis Windows 11 2022H2.

Was tun mit diesen alten Computern?

Wenn Sie Windows 7- oder Windows 8.1-Computer haben, die Sie immer noch für brauchbar und nützlich halten, sollten Sie den Wechsel zu einem Open-Source-Betriebssystem wie einer Linux-Distribution in Betracht ziehen, das immer noch sowohl Support als auch Updates erhält.

Einige Community-Linux-Builds sind darauf spezialisiert, ihre Distributionen klein und einfach zu halten

Auch wenn sie nicht über die neueste und beste Sammlung von Fotofiltern, Videobearbeitungstools, Schachengines und hochauflösenden Hintergrundbildern verfügen, sind minimalistische Distributionen immer noch zum Surfen und E-Mailen geeignet, selbst auf alter 32-Bit-Hardware mit kleinen Festplatten und wenig Speicher.

LESEN SIE DEN SOPHOSLABS-BERICHT ÜBER DIE PATCHES DIESES MONATS

Zeitstempel:

Mehr von Nackte Sicherheit