Windows 10 & 11 und MS Office: Microsoft schließt teils schwerwiegende Lücken
Microsoft hat im Rahmen seines monatlichen Patchdays erneut zahlreiche Sicherheitslücken in Windows und Office geschlossen. Das Einspielen der Updates wird dringend empfohlen, da einige der Schwachstellen als besonders kritisch eingestuft werden. Unter anderem können Angreifer über diese Zugriff auf das System erlangen.
Übernahme des Systems ohne Nutzeraktion möglich
Dies betrifft teilweise Windows 10, Windows 11 sowie insbesondere die aktuellen Windows-Server-Versionen, in denen Microsoft schwerwiegende Schwachstellen wie CVE-2025-24035 und CVE-2025-24045 in den Remotedesktop-Diensten geschlossen hat. Besonders gefährlich sind diese Lücken, da sie aus der Ferne, ohne Nutzeraktion und ohne zusätzliche Nutzerrechte ausgenutzt werden können. Microsoft macht in den dazugehörigen Release Notes zwar keine Angaben zu konkreten Angriffsszenarien, stuft die Gefahr einer Ausnutzung jedoch als „wahrscheinlich“ ein, auch wenn die Angriffskomplexität als „hoch“ bewertet wird.
Ein erfolgreicher Angriff setzt jedoch das Eintreten einer sogenannten „Race Condition“ voraus – eine Situation, in der das System zwei oder mehrere Vorgänge gleichzeitig ausführt, die in einer bestimmten Reihenfolge abgearbeitet werden müssen. Dies kann beispielsweise auftreten, wenn sich ein Angreifer über die Rolle Remotedesktopgateway mit dem System eines Nutzers verbinden will. Laut Microsoft kann es dabei zu einem „Use-After-Free“ (UAF) kommen – einem Fehler, bei dem ein Programm nach der Freigabe eines Speicherbereichs weiterhin auf diesen zugreift. Angreifer könnten diesen Zustand ausnutzen, um Schadcode auf dem betroffenen System auszuführen.
Auch Microsofts Office betroffen
Neben Windows sind auch einige Sicherheitslücken in Microsoft Office geschlossen worden. Besonders kritisch bewertet Microsoft die Schwachstelle CVE-2025-24057, die es Angreifern ebenfalls ermöglichen könnte, Schadcode auf dem System des Nutzers auszuführen. Im Gegensatz zu den vorher genannten Lücken ist die Angriffskomplexität hierbei gering, allerdings ist für eine erfolgreiche Ausnutzung eine Nutzeraktion erforderlich. Welche Art von Interaktion notwendig ist, lässt Microsoft offen, hält eine Ausnutzung der Schwachstelle jedoch für „weniger wahrscheinlich“.
Verantwortlich für die Lücke ist ein Heap-basierter Pufferüberlauf, bei dem sich kritische Anwendungsdaten im dynamischen Speicher mit Schadcode überschreiben lassen. Dies könnte Angreifern Zugang zu sensiblen Daten verschaffen oder es ihnen sogar ermöglichen, die vollständige Kontrolle über das System zu übernehmen. Microsoft liegen bislang jedoch keine Berichte über aktive Angriffe vor.
Weitere Sicherheitslücken, darunter CVE-2025-26629, sind ebenfalls von einem möglichen „Use-After-Free“-Fehler betroffen. Diese Schwachstelle weist ein hohes Gefahrenpotenzial auf, auch wenn Microsoft die Angriffskomplexität als „niedrig“ einstuft und die Wahrscheinlichkeit eines Angriffs als eher gering einschätzt.
Update empfohlen
Insgesamt hat Microsoft mit dem März-Patchday 67 Sicherheitslücken geschlossen, von denen laut den Release Notes bereits sechs aktiv ausgenutzt werden. Eine zeitnahe Aktualisierung des Systems wird daher dringend empfohlen.