Studie: 55 Prozent aller Microsoft-Schwachstellen resultieren aus erhöhten Nutzerrechten

Wie bereits in den beiden vorangegangenen Jahren stellen auch in diesem Jahr zu weit gefasste Nutzerrechte eines der größten Sicherheitsrisiken dar. Insgesamt wurden im Bericht 1.292 Schwachstellen in Microsoft-Systemen identifiziert, was die höchste Zahl an Sicherheitslücken darstellt, die je in einem solchen Bericht erfasst wurden.

BeyondTrust, ein Unternehmen im Bereich intelligenter Identitäts- und Zugriffsschutz, hat seinen neuesten Microsoft Vulnerabilities Report veröffentlicht. Er soll Unternehmen dabei helfen, veränderte Risiken für eigene Netzwerke und IT-Systeme besser zu verstehen und durch angepasste IT-Sicherheitsstrategien zu beheben. Dabei kommt es nicht nur auf die Anzahl der Schwachstellen an, sondern auch auf eine qualitative Einordnung der Auswirkungen durch Schwachstellen und Bedrohungen. Dabei kann die Gruppierung in sieben Hauptkategorien helfen, die Microsoft selbst für  Sicherheitsanfälligkeiten, die einzelne oder mehrere Microsoft-Produkte betreffen, vorgenommen hat: Remotecodeausführung (RCE), Erhöhung von Berechtigungen, Umgehung von Sicherheitsfunktionen, Manipulation, Offenlegung von Informationen, Denial-of-Service und Spoofing.

Auffällige Trends

Die Erhöhung von Berechtigungen ist die Sicherheitsrisikokategorie Nummer eins und betrifft 55 Prozent aller erkannten Anfälligkeiten. Die Gesamtzahl der Microsoft-Schwachstellen stieg im Jahr 2022 auf insgesamt 1.292 – ein Allzeithoch seit der Bericht vor zehn Jahren erstmals herausgegeben wurde. Microsoft stuft jedoch nur 6,9 Prozent der Schwachstellen als „kritisch“ ein, gegenüber 44 Prozent im Jahr 2013.

Azure und Dynamics 365 verzeichnen nicht nur die größten finanziellen Gewinne für Microsoft, sondern auch den größten Zuwachs an Schwachstellen. Die Anzahl an Sicherheitslücken bei Azure und Dynamics 365 stieg um 159 Prozent von 44 im Jahr 2021 auf 114 im zurückliegenden Jahr an.

Die Schwachstellen unter Windows Server stiegen nur leicht auf insgesamt 552. Microsoft Office verzeichnete ein Fünf-Jahres-Tief mit nur 36 Schwachstellen. Bei Microsoft Edge waren im vergangenen Jahr 311 Schwachstellen zu verzeichnen, aber keine davon war kritisch.

Weniger Rechte für mehr Sicherheit

Der Bericht betont auch das Prinzip der geringsten Rechte. Unternehmen sollten versuchen, die Nutzerrechte möglichst niedrig zu halten, um das Risiko von Sicherheitslücken zu minimieren. Der Schutz von Endpunkten über Enterprise-Lösungen kann dazu beitragen, die richtige Balance zwischen Sicherheit und Produktivität zu finden.

James Maude, Lead Security Researcher bei BeyondTrust, kommentierte die Ergebnisse: „Microsoft weist eine hohe Anzahl an Sicherheitslücken auf, die wir in den vergangenen zehn Jahren dokumentiert und untersucht haben. Unsere jährlichen Reports skizzieren aber nicht nur potenzielle Risiken, sondern heben auch die Bedeutung von rechtzeitigem Patch Management hervor und wie Unternehmen durch Vermeidung von zu weit gefasster Benutzerrechte aktuelle Risiken minimieren können.“

Der vollständige Microsoft Vulnerabilities Report 2023 ist hier abrufbar.