Microsoft veröffentlicht außerplanmäßige Updates für Copilot und Azure

Kurz nach dem regulären Patch-Day muss Microsoft erneut kritische Sicherheitslücken schließen. Betroffen sind unter anderem der Copilot und andere wichtige Dienste. Eine der Schwachstellen wurde bereits aktiv ausgenutzt. Was Nutzer jetzt wissen müssen.

Kritische Sicherheitslücken geschlossen

Microsoft hat mit der außerplanmäßigen Freigabe diverser Updates mehrere kritische Sicherheitslücken in seinen Produkten und Diensten geschlossen. Die Schwachstellen betreffen unter anderem den KI-Assistenten Copilot, das Partner-Portal und Azure PolicyWatch. Nach den ersten Erkenntnissen sind Endverbraucher davon aber nur indirekt betroffen.

Copilot-Nutzer im Fokus der Angreifer

Eine der gravierendsten Schwachstellen wurde im Microsoft Copilot Studio entdeckt. Die als kritisch eingestufte Lücke (CVE-2024-49038) ermöglichte es Angreifern, ihre Rechte im System auszuweiten. Ursache war eine unzureichende Filterung von Nutzereingaben bei der Webseitenerstellung, was zu einem sogenannten Cross-Site-Scripting führen konnte.


Microsoft erklärt in seiner Sicherheitsmitteilung, dass eine weitere kritische Lücke im Partner-Portal "partner.microsoft.com" bereits aktiv ausgenutzt wurde. Die Schwachstelle (CVE-2024-49035) erlaubte es Angreifern, ohne vorherige Authentifizierung ihre Rechte zu erhöhen. In beiden Fällen hat Microsoft das Problem serverseitig gelöst, sodass Nutzer keine weiteren Maßnahmen ergreifen müssen.

Weitere Schwachstellen

Zudem wurden noch in Microsoft Azure PolicyWatch und Dynamics 365 Sales Sicherheits­lücken ent­deckt und ge­schlossen. In Azure PolicyWatch konnten An­greifer auf­grund einer fehl­enden Authentifizierung ihre Rechte er­höhen (CVE-2024-49052). Bei Dynamics 365 Sales handelte es sich um eine Spoofing-Lücke (CVE-2024-49053), die es An­greifern er­möglichte, Opfer auf bösartige Webseiten umzuleiten.

Für die meisten der entdeckten Schwachstellen müssen Nutzer keine eigenen Maßnahmen ergreifen, da Microsoft die Probleme bereits serverseitig behoben hat. Lediglich für Dynamics 365 Sales auf iOS und Android wird empfohlen, die Apps auf die Version 3.24104.15 oder höher zu aktualisieren.

Die Veröffentlichung dieser Sicherheitsupdates außerhalb des regulären Patch-Zyklus unterstreicht die Dringlichkeit der Probleme. Der letzte reguläre Patch-Day fand am 13. November statt, der nächste ist für den 11. Dezember geplant.

Was denkt ihr über Microsofts Vorgehen bei diesen Sicherheitslücken? Fühlt ihr euch durch solche außerplanmäßigen Updates besser geschützt oder macht es euch eher misstrauisch? Teilt eure Meinung in den Kommentaren!

Siehe auch: