Microsoft schließt erneut kritische Sicherheitslücke im Windows Server Update Service

Zusammenfassung

Die Deserialisierung nicht vertrauenswürdiger Daten im Windows Server Update Service ermöglicht es einem unbefugten Angreifer, Code über ein Netzwerk auszuführen.

Abhilfemaßnahmen

Eine Abhilfemaßnahme ist eine Einstellung, eine gängige Konfiguration oder eine allgemeine bewährte Vorgehensweise, die in einem Standardzustand vorhanden ist und die Schwere der Ausnutzung einer Sicherheitslücke verringern kann. Die folgenden Abhilfemaßnahmen können in Ihrer Situation hilfreich sein:

Die WSUS-Serverrolle ist auf Windows-Servern standardmäßig nicht aktiviert. Windows-Server, auf denen die WSUS-Serverrolle nicht aktiviert ist, sind von dieser Sicherheitslücke nicht betroffen. Wenn die WSUS-Serverrolle aktiviert ist, wird der Server anfällig, wenn das Update nicht vor der Aktivierung der WSUS-Serverrolle installiert wird.

Workarounds

Die folgenden Workarounds können in Ihrer Situation hilfreich sein. In allen Fällen empfiehlt Microsoft dringend, die Updates für diese Sicherheitslücke so schnell wie möglich zu installieren, auch wenn Sie eine dieser Abhilfemaßnahmen beibehalten möchten:

Wenn Sie das Out-of-Band-Update vom 23. Oktober 2025 nicht installieren können, können Sie eine der folgenden Maßnahmen ergreifen, um sich vor dieser Sicherheitslücke zu schützen:

• Wenn die WSUS-Serverrolle auf Ihrem Server aktiviert ist, deaktivieren Sie sie. Beachten Sie, dass Clients keine Updates mehr vom Server erhalten, wenn WSUS deaktiviert ist.
• Blockieren Sie den eingehenden Datenverkehr zu den Ports 8530 und 8531 auf der Host-Firewall (anstatt nur auf der Netzwerk-/Perimeter-Firewall), um WSUS außer Betrieb zu setzen.

Wichtig: Heben Sie diese Workarounds erst auf, nachdem Sie das Update installiert haben.

Wie könnte ein Angreifer diese Sicherheitslücke ausnutzen?

Ein nicht authentifizierter Angreifer könnte aus der Ferne ein manipuliertes Ereignis senden, das eine unsichere Deserialisierung von Objekten in einem älteren Serialisierungsmechanismus auslöst, was zur Ausführung von Remote-Code führen kann.

Welche Maßnahmen muss ich ergreifen, um mich vor dieser Sicherheitslücke zu schützen?

Um diese Sicherheitslücke vollständig zu beheben:

• Windows Server-Kunden sollten das am 23. Oktober 2025 veröffentlichte Out-of-Band-Update installieren.
• Windows Server, die am Hotpatch-Programm teilnehmen, sollten das am 24. Oktober 2025 veröffentlichte Out-of-Band-Standalone-Sicherheitsupdate installieren.

Wenn Sie das Update nicht sofort installieren können, finden Sie im Abschnitt „Workaround” Maßnahmen, die Sie zum Schutz ergreifen können.

Erfordert das am 23. Oktober 2025 veröffentlichte Out-of-Band-Update einen Neustart des Windows-Servers?

Ja. Nach der Installation des Updates müssen Sie Ihr System neu starten.

Erfordert das am 24. Oktober 2025 veröffentlichte eigenständige Out-of-Band-Sicherheitsupdate für Windows Server, die am Hotpatch-Programm teilnehmen, einen Neustart?

Ja. Ein Neustart ist nur auf Servern erforderlich, auf denen WSUS aktiviert ist. Dieses Update setzt die vorherige Baseline nicht zurück.

Wie erhalte ich das außerplanmäßige Sicherheitsupdate vom 23. Oktober 2025?

Das Update ist über die folgenden Kanäle verfügbar:

• Für Kunden, die Updates automatisch installieren, wird dieses Update automatisch von Windows Update und Microsoft Update heruntergeladen und installiert.
• Das eigenständige Paket für dieses Update ist auf der Microsoft Update Catalog-Website verfügbar.
• Dieses Update wird automatisch mit Windows Server Update Services (WSUS) synchronisiert.

Wie erhalte ich das Out-of-Band-Standalone-Sicherheitsupdate vom 24. Oktober 2025 für Windows Server, die am Hotpatch-Programm teilnehmen?

Windows Server 2022:

• Für Kunden, die Updates automatisch installieren, wird dieses Update automatisch von Windows Update heruntergeladen und installiert.
• Dieses Update wird automatisch mit Windows Server Update Services (WSUS) synchronisiert.

Windows Server 2025:

• Für Kunden, die Updates automatisch installieren, wird dieses Update automatisch von Windows Update heruntergeladen und installiert.

Warum hat sich die temporäre CVSS-Bewertung geändert?

Microsoft hat die Metrik „Exploit Code Maturity” (Reife des Exploit-Codes) der temporären CVSS-Bewertung von „Unproven” (U) auf „Proof-of-Concept” (P) aktualisiert, nachdem die Verfügbarkeit eines öffentlich bekannt gegebenen PoC-Codes für diese CVE bestätigt wurde.

Wird eine aktualisierte Windows Update-Offline-Scan-Datei, Wsusscn2.cab, mit diesem neuen Sicherheitsupdate verfügbar sein?

Ja. Eine aktualisierte Scan-Datei wird zum Zeitpunkt der Veröffentlichung oder kurz danach verfügbar sein.