[datensicherheit.de, 12.01.2020] Kürzlich haben Forscher von Mimecast nach eigenen Angaben „eine weitere Sicherheitslücke in Microsofts Office-Produkten namens ,MDB Leaker‘ entdeckt“. Diese habe einen Patch (CVE-2019-1463) erfordert, der am 10. Dezember 2019 in der Datenbankanwendung „Access“ aufgespielt worden sei. Die Forscher haben demnach bereits im Januar 2019 die Sicherheitslücke „CVE-2019-0560“ enthüllt – eine ähnliche Schwachstelle in „Microsoft Office“-Produkten.

Patch erforderlich: Über 85.000 Unternehmen laufen Gefahr, Opfer eines Datenlecks zu werden

„Wenn diese Sicherheitslücke nicht gepatcht wird, laufen über 85.000 Unternehmen Gefahr, Opfer eines Datenlecks zu werden.“ Hierbei könnten auch vertrauliche und geschäftskritische Daten verloren gehen und in die Hände unberechtigter Dritter gelangen. Zum jetzigen Zeitpunkt sei dem Labor jedoch keine tatsächliche Gefährdung aufgrund dieser Schwachstelle bekannt geworden.
Die beiden Sicherheitslücken wiesen eine gewisse Ähnlichkeit zueinander auf: Grund sei ein häufig vorkommender Programmierfehler – in diesem Fall die unsachgemäße Verwaltung des Systemspeichers durch eine Anwendung, welche zur unbeabsichtigten Offenlegung sensibler oder privater Daten führen könnte.

False Positives als entscheidend für Entdeckung

Während falsche Negativmeldungen, wie fehlende bösartige Dateien oder E-Mails, immer minimiert werden sollten, seien nicht alle falschen Positivmeldungen von Natur aus schlecht. Bei „MDB Leaker“ beispielsweise habe sich, wie bei der „Microsoft Office“-Schwachstelle vom Januar 2019, die Meldung eines potenziellen Fehlalarms als entscheidend für diese Entdeckung erwiesen.
„Nachdem sie einen ,False Positive‘ für eine bestimmte ,Microsoft Access‘-Datei erhalten hatten, die durch eine statische Dateianalyse gekennzeichnet wurde, stellten die Mimecast-Forscher fest, dass es Codefragmente in einem Dateityp gab, der eindeutig nur für Daten bestimmt ist, nämlich einer ,Microsoft Access‘-MDB-Datei.“ Von dort aus habe das Team vermutete, dass der Systemspeicher in der „Microsoft Access“-Anwendung falsch verwaltet worden sei. So hätten sie feststellen können, dass es sich um einen reproduzierbaren Fehler gehandelt habe, der in mehreren älteren Versionen der „Microsoft Access“-Datenbankanwendung enthalten gewesen sei.

Sensible Informationen wie Kennwörter, Zertifikate, Webanfragen und Domänen-/Benutzerinformationen in Gefahr

In einigen Fällen könnten die unbeabsichtigt in der MDB-Datei gespeicherten Daten sensible Informationen wie Kennwörter, Zertifikate, Webanfragen und Domänen-/Benutzerinformationen sein. Mit anderen Worten sei ein Speicher-Link keine inhärente Sicherheitslücke. „Vielmehr ist das was das Speicherleck verursachen kann, das eigentliche Problem.“ Vor diesem Hintergrund empfiehlt das Labor nach eigenen Angaben allen Benutzern der „Microsoft Access“-Datenbank, ihre Anwendungen auf die Lücke hin zu überprüfen.
„Wenn ein Hacker in der Lage war, auf einen Rechner zu gelangen, der MDB-Dateien enthielt oder an große Mengen von MDB-Dateien gelangen konnte, könnte er eine automatische Suche durch alle diese Dateien durchführen, um vertrauliche Informationen in diesen Dateien zu finden und zu sammeln.“ Im zweiten Schritt könnte er sie auf vielfältige Weise nutzen und zu monetarisieren versuchen.

Ausführbare Dateien so schnell wie möglich patchen

Glücklicherweise habe das Mimecast Research Lab bisher noch keine Ausnutzung dieser Sicherheitslücke „in freier Wildbahn“ gesehen. Benutzer, die die potenzielle Sicherheitslücke nicht patchen, könnten anfällig für Angriffe sein.
Um dies zu vermeiden, sollten die unten aufgeführten bewährten Sicherheitsverfahren beachtet werden. Zudem gelte es, die ausführbaren Dateien der „Microsoft Access“-Datenbank so schnell wie möglich zu patchen.

Mimecast empfiehlt Sicherheitsvorkehrungen:

• Verwendung eines E-Mail-Sicherheitssystems mit ausgefeilten Malware-Erkennungsfunktionen, das sowohl statische Dateianalysen als auch Sandboxing umfasst, um bösartige Dateien vom Eindringen in das Unternehmen und sensible Inhalte vom Verlassen des Unternehmens abzuhalten.
• Installation von Patches und Updates für IT-Systeme und Anwendungen auf Sicherheitslücken, sobald diese vom IT-Anbieter zur Verfügung gestellt werden. Zudem sollten Systeme und Applikationen einer regelmäßigen Überwachung unterliegen.
• Untersuchung des Netzwerkverkehrs auf Verbindungen zu Command-and-Control-Diensten und auf die Exfiltration potenziell sensibler Dateien.
• Kontinuierliche Aktualisierung des Endpunktsicherheitssystems, um rechtzeitig bösartige Software erkennen zu können.