Microsoft heeft voor de eerste keer in 2009 een 'out-of-band' patchcyclus, waarmee het drie ernstige lekken in Internet Explorer en een zeer gevaarlijke kwetsbaarheid in Visual Studio verhelpt. De drie kwetsbaarheden in de browser zijn door onderzoekers aan Microsoft gemeld en zorgen ervoor dat een aanvaller de computer kan overnemen als de gebruiker een kwaadaardige of gehackte website bezoekt. Daarnaast zijn er twee 'defense in depth' maatregelen toegevoegd tegen aanvallen die de ActiveX Security Policy omzeilen. De eerste maatregel is standaard ingeschakeld en wijzigt hoe op Active Template Library (ATL) gebaseerde controls met gegevens omgaan. De tweede maatregel staat standaard uitgeschakeld, aangezien die alleen op bepaalde controls betrekking heeft.

De oorzaak van alle ellende is een zeer ernstige kwetsbaarheid in de Active Template Library (ATL), waarmee ontwikkelaars ActiveX controls kunnen maken. ATL is een onderdeel van Microsoft Visual Studio. Onderzoekers zullen tijdens de Black Hat conferentie vandaag een manier demonstreren om via een kill-bit uitgeschakelde ActiveX controls toch aan te roepen. Hierdoor is het mogelijk om gepatchte systemen toch met malware te infecteren. Dit probleem treft niet alleen de ActiveX controls van Microsoft, maar ook van een onbekend aantal andere ontwikkelaars. Die kunnen hun controls via deze test van Verizon controleren. Veel van de ontwikkelaars waren echter al van tevoren door Microsoft ingelicht.

Uniek probleem
"Er is een aantal unieke problemen die voor de ATL bugs moesten worden opgelost. Het eerste probleem is het in kaart brengen van de kwetsbare applicaties", aldus de onderzoekers die het probleem ontdekten. Het probleem met normale lekken is dat die zich vaak in één enkel bestand bevinden en alleen de hercompilatie van een enkel programma vereisen. In het geval van de ATL, lopen alle applicaties die hier code van gebruiken het risico om kwetsbaar te zijn. Daarnaast is het detecteren van de kwetsbare ATL code een lastig proces en moeilijk met statische analyse tools uit te voeren.

Het tweede probleem waar Microsoft mee te maken kreeg, was het samenwerken met andere ontwikkelaars. De softwaregigant besloot zelf zoveel mogelijk kwetsbare ontwikkelaars als mogelijk op te sporen en die het probleem uit te leggen. "Dit proces kost tijd en moeite en Microsoft heeft non-stop met ontwikkelaars samengewerkt om het risico voor eindgebruikers te beperken."

Evolutie
Ondanks alle problemen, ziet Microsoft er ook de positieve kanten van. "We hebben veel tijdens dit proces geleerd. Tenslotte vereist evolutie een verandering in de manier waarop we denken en handelen, wat uiteindelijk tot groei leidt", aldus Senior Security Program Manager Katie Moussouris.

Windows gebruikers wordt dringen aangeraden NU te updaten via Windows Update of de Automatische Update functie. Microsoft laat weten dat het bewust de standaard patchcyclus heeft overgeslagen, want als het tot 11 augustus had gewacht, de veiligheid van gebruikers een groter risico had gelopen. De softwaregigant heeft zelden zoveel informatie over het hoe en waarom van de kwetsbaarheden en uitgebrachte patches online gezet. Een technische analyse is op het Security Research & Defense blog te vinden.