Microsoft zal volgende week twee 'out-of-band' patches voor zeer ernstige beveiligingslekken in Internet Explorer en Visual Studio uitbrengen. Welke problemen de updates precies gaan verhelpen maakte de softwaregigant niet bekend. In het geval van Visual Studio lost het Security Bulletin een probleem op dat bepaalde soorten applicaties treft. Voor Internet Explorer is het een 'defense-in-depth' aanpassing, die aanvullende bescherming moet bieden voor de problemen die het Visual Studio bulletin verhelpt. Daarnaast repareert de IE-patch ook meerdere beveiligingslekken die volgens Microsoft door een onderzoeker op verantwoorde wijze zijn gemeld.

Afgelopen woensdag ging al het gerucht dat de softwaregigant met een noodpatch zou komen voor het Video ActiveX control waar het op patchdinsdag al een update voor had uitgebracht. Volgens beveiligingsexpert Tyler Reguly ging het om prutswerk, aangezien de patch alleen uit een killbit voor het kwetsbare ActiveX control bestond. Hiermee loste Microsoft het beveiligingslek niet op, maar schakelde wel de kwetsbare functionaliteit uit.

Reverse engineer expert Halvar Flake besloot het lek te onderzoeken en ontdekte waarom Microsoft zo'n probleem had met het ontwikkelen van een werkende patch. Het probleem zit namelijk veel dieper in Windows. Niet alleen Windows, maar ook software van andere ontwikkelaars gebruiken dezelfde functie. Volgens Flake is de killbit-oplossing dan ook duidelijk niet voldoende, aangezien er vast tal van andere manieren zijn om het probleem te misbruiken. Naar alle waarschijnlijkheid gaan de Security Bulletins dit probleem verhelpen.

Een woordvoerder laat weten dat de updates een ernstig lek in de code dichten die Microsoft op verschillende plekken binnen Windows gebruikt. Daarnaast zou de kwetsbare code-library ook door andere ontwikkelaars worden gebruikt, wat het probleem en potentiële gevolgen nog groter maakt.

Geen zero-day aanvallen
Vorig jaar kwam Microsoft met twee 'out-of-band' patches, eentje voor het Conficker-lek in Windows een ander voor Internet Explorer, waar de kwetsbaarheid actief misbruikt werd. De softwaregigant laat gebruikers weten dat er geen sprake van zero-day aanvallen is. "Klanten die over de laatste beveiligingsupdates beschikken zijn beschermd tegen bekende aanvallen die met deze Out of Band release samenhangen." De updates zijn vanaf 28 juli via Windows Update en de Automatische Update functie te downloaden.

Update 11:25: Opmerking Microsoft woordvoerder toegevoegd