Am 10. November war Patchday bei Microsoft, mit rund 1100 geschlossenen Lücken. Eine davon in Outlook wird bereits angegriffen. Die US-Behörde für Cybersicherheit CISA führt sie seit demselben Tag in ihrer Liste der nachweislich ausgenutzten Lücken, mit Frist bis zum 24. November.
Microsoft selbst stuft die Lücke nur als mittel ein. Für einen Kleinbetrieb ist sie trotzdem eine der wichtigsten des Monats, weil Outlook auf fast jedem Arbeitsplatz läuft.
Was passiert
Öffnet jemand eine präparierte Office-Datei, nimmt Outlook laut heise ohne die übliche Warnung Verbindung zu einem Server des Angreifers auf. Dabei schickt Windows automatisch einen Anmeldenachweis mit, einen sogenannten NTLM-Hash. Das ist nicht das Passwort im Klartext, aber eine Form davon, mit der sich ein Angreifer bei anderen Diensten im Namen des Opfers anmelden kann oder aus der sich ein schwaches Passwort zurückrechnen lässt.
Die Vorschau im Lesebereich löst den Angriff nicht aus. Es braucht einen Klick zum Öffnen. Das klingt nach einer hohen Hürde, ist es bei einer gut gemachten Mail aber nicht.
Das Muster ist alt
Es ist nicht die erste Lücke dieser Art. In den letzten Jahren hat Microsoft mehrere Fehler geschlossen, über die Outlook oder Windows den Anmeldenachweis an fremde Server schickten. Jedes Mal mit einem anderen Auslöser, jedes Mal mit derselben Folge.
Darum lohnt es sich, nicht nur das Update einzuspielen, sondern dem Muster die Grundlage zu entziehen. Windows schickt den Nachweis über die Dateifreigabe, ein Verfahren namens SMB. Das braucht ein Arbeitsplatz für Freigaben im eigenen Netz, aber kaum je für Server im Internet. Wer ausgehende SMB-Verbindungen ins Internet an der Firewall sperrt, nimmt dieser ganzen Familie von Lücken den üblichen Weg, auch der nächsten.
Und die Windows-Suche
Am selben Patchday hat Microsoft eine kritische Lücke in der Suchfunktion von Windows geschlossen. Laut heise kann dort eine präparierte Mail an einen Exchange-Server reichen, weil der Suchdienst den Anhang selbst verarbeitet, ohne dass jemand ihn öffnet. Wer einen eigenen Exchange-Server betreibt, spielt die Updates darum nicht erst am Wochenende ein.
Was jetzt zu tun ist
Office und Windows aktualisieren. Das November-Update einspielen und danach neu starten. Bei Microsoft 365 aktualisiert sich Office meist selbst. Ob das geklappt hat, zeigt Outlook unter «Datei», «Office-Konto» mit der Versionsnummer.
Ausgehendes SMB sperren. An der Firewall Verbindungen von innen nach aussen auf Port 445 blockieren. Ein Betrieb ohne Dateiserver im Internet merkt davon nichts. Wer die Firewall betreuen lässt, fragt den IT-Partner, ob das eingerichtet ist.
Exchange zuerst. Wer einen eigenen Exchange-Server betreibt, aktualisiert ihn vorrangig, nicht im nächsten Wartungsfenster.
Mitarbeitende vorwarnen. Ein Anhang, der unerwartet kommt, wird nicht geöffnet, auch wenn der Absender bekannt scheint. Im Zweifel anrufen und nachfragen.