Trio zero-day exploits voor Microsoft
Na beveiligingslekken waar nog geen patch voor is in Internet Explorer 7 en WordPad, is het nu de beurt aan MS SQL Server 2000 en 2005. Er is een lek gevonden dat aanvallers de mogelijkheid geeft om "zelfgebakken" code te laten uitvoeren in de server. Volgens de beveiligingsexperts van SEC Consult, wordt het probleem veroorzaakt door een bug in het geheugenbeheer van het programma.
Het succes van een aanvaller hangt echter af van de gebruikte Windows versie. SEC zegt dat het een exploit heeft ontworpen die met succes malafide code naar een testmachine stuurt. Naast geauthenticeerde gebruikers is het lek in theorie ook via SQL-injectie te misbruiken. Het bedrijf zegt dat Microsoft sinds april al op de hoogte is, maar ondanks de belofte om in september een patch uit te brengen, is een definitieve datum nog altijd onbekend. SEC raadt beheerders aan om de kwetsbare procedure te verwijderen.
Het lijkt onmogelijk om eens een fatsoenlijke veilige besturings systeem neer te zetten voor zo'n miljarden bedrijf...
We kunnen wel overstappen op Linux maar ben bang als iedereen dat gaat doen dat de hackers zich dan ook meer gaan richten op Linux en zal daar snel hetzelfde probleem ontstaan :)
We? Ik ben allang overgestapt!
Het gaat om MS SQL en niet om de MySQL versie voor windows.
Daarbij: Een 0Day is een kwetsbaarheid waar exploitcode voor in het wild aanwezig is (zoals een worm of trojan) en geen patch beschikbaar is van de leverancier. Dit is Proof of Concept en niet meer dan dat. Meer incentive voor Microsoft om inderdaad met een patch te komen, dat dan weer wel. Lijkt me niet onbelangrijk, aangezien deze vondst al sinds April dit jaar bekend is bij ze.
Het lijkt onmogelijk om eens een fatsoenlijke veilige besturings systeem neer te zetten voor zo'n miljarden bedrijf...
We kunnen wel overstappen op Linux maar ben bang als iedereen dat gaat doen dat de hackers zich dan ook meer gaan richten op Linux en zal daar snel hetzelfde probleem ontstaan :)
De dag waarop Linux-patch day headline nieuws is hier en zich niet beperkt tot Secunia weet je dat je goed zit. Dat je uiteindelijk het 1 digit marktaandeel ferm overstijgt. Malware schrijvers gaan zich niet laten afschrikken door al die would-be unix-specialisten. Overigens als je dit forum wat grondiger zou lezen zijn die 0-day exploits totaal onbelangrijk.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
