Hackers misbruiken nieuw lek in Microsoft Word *update*
Microsoft heeft een waarschuwing afgegeven omdat hackers een nieuw beveiligingslek in Word actief gebruiken om toegang tot vertrouwelijke systemen en informatie te krijgen. De aanvallers zouden de exploit, die misbruik maakt van een nog onbekende kwetsbaarheid in de Microsoft Jet Database Engine, bij gerichte aanvallen hebben ingezet. Gebruikers van Microsoft Word 2000 SP3, Word 2002 SP3, Word 2003 SP2/SP3, Word 2007 (SP1) op Windows 2000, XP en Server 2003 SP1 lopen risico als zij een Word bestand openen.
Gebruikers van Windows Server 2003 SP2 2 en Windows Vista (SP1) zijn niet kwetsbaar, omdat deze besturingssystemen een andere versie van de Microsoft Jet Database Engine gebruiken. Volgens McAfee betekent dit dat Microsoft mogelijk stilletjes het lek in deze besturingssystemen heeft gedicht. De softwaregigant heeft de kwetsbaarheid in onderzoek en kan afhankelijk van de resultaten en omvang van de aanvallen, besluiten om buiten haar maandelijkse patchcyclus een update uit te brengen.
Het lek is aanwezig in het bestand Msjet40.dll met versienummers lager dan 4.0.9505.0. Voorlopig adviseert Microsoft om met verminderde rechten te draaien, omdat dit de gevolgen van de aanval beperkt. Daarnaast is het verstandig om geen ongevraagde bijlagen te openen, maar dat blijkt bij gerichte aanvallen juist vaak een probleem. Amerikaanse gebruikers die denken via deze aanval gehackt te zijn, wordt geadviseerd contact met de FBI op te nemen.
Excel gebruikers opgelet
Tevens doen Office gebruikers die de update MS08-014 nog niet hebben geïnstalleerd aangeraden dit zo spoedig mogelijk te doen, aangezien er een exploit publiekelijk is gemaakt die aanvallers volledige toegang tot kwetsbare systemen kan geven. De Microsoft update zorgde in eerste instantie in bepaalde gevallen voor rekenfoutjes, maar inmiddels is er een nieuwe versie van de patch verschenen.
Update 19:00
De kwetsbaarheid is waarschijnlijk zo ernstig dat Microsoft personeel ook tijdens de Paasdagen moet doorwerken aan een patch.
DLL (4.0.9635.0) gevonden op mijn PC. De computer zou dus
- volgens opgave van het SANS - niet kwetsbaar moeten zijn.
De allernieuwste Excell patch is overigens te downloaden via
de update functie.
Gaat het over Word of Excel (zie link versie)
Je moet beiden dichtgooien.
nooit zien.
Voor de meesten onder ons ontstaat er pas een real-life risico wanneer
Microsoft een patch vrijgeeft.
Het andere lek is veel erger, want het betreft niet alleen Word en er is nog geen patch voor. De reden dat Microsoft in haar advisory Word noemt is waarschijnlijk dat er exploits in omloop zijn die van Word gebruik maken. De kwetsbare DLL wordt echter door meerdere programma's (ook van anderen dan Microsoft) gebruikt en staat ook op je systeem als je geen Office hebt geïnstalleerd. Een geprepareerde MSN of email bijlage genaamd plaatje.jpg.mdb openen volstaat om je systeem te compromitteren.
Het trieste is dat het waarschijnlijk om één van de lekken gaat die al bijna 3 jaar bekend zijn, zie [url=http://www.hexview.com/docs/20050331-1.txt]deze publicatie[/url] van 'hexview' met onder meer:
Op [url=http://support.microsoft.com/kb/239114]deze MS pagina over versies van de MS Jet 4.0 database engine[/url] kun je lezen dat alleen W2K3 SP2 en Vista safe zijn.
bekende lekken, waar is dat op gebaseerd?
De lek die HexView beschreven heeft in "20050331-1.txt"
onder "demonstration" is niet de lek die gebruikt is in de aanval.
Bitwiper, je beweert dat de lek in de Word aanval dezelfde lek is als eerder bekende lekken, waar is dat op gebaseerd?
De lek die HexView beschreven heeft in "20050331-1.txt" onder "demonstration" is niet de lek die gebruikt is in de aanval.
De PoC van cocoruder lijkt inderdaad op de mdb exploit file, maar de exploit
(door McAfee gemeldt), is niet gebaseerd op de PoC file van cocoruder.
De HexView exploit is anders, dat kun je zelf ook wel zien als je de twee
vergelijkt.
Voor de duidelijkheid: de Word file is geen transportmiddel voor de mdb, het
zijn twee bestanden.
Aangezien er talloze problemen te vinden zijn in Office bestanden, kun je niet
zomaar zeggen dat de lek wel dezelfde zal zijn als eerder bekend was.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
