Microsoft maakt Firefox kwetsbaar voor hackers
Een uitbreiding die Microsoft stiekem in Firefox installeerde, blijkt gebruikers van zowel Internet Explorer als Mozilla's browser kwetsbaar voor drive-by download aanvallen te maken. Firefox-gebruikers klaagden eind mei dat zonder hun toestemming de "NET Frameworks Assistent" werd geïnstalleerd. Afgelopen dinsdag bracht Microsoft een update voor de uitbreiding uit, die voorkomt dat gebruikers slachtoffer van een "browse-and-get-owned" aanval worden, zoals de softwaregigant het noemt. De 54ste Security Bulletin was namelijk niet alleen voor Internet Explorer bedoeld, maar ook voor andere browsers.
De kwetsbaarheid in de NET Frameworks Assistent werd dit jaar tijdens de Black Hat hackerconferentie in juli, door onderzoekers Mark Dowd, Ryan Smith en David Dewey gepresenteerd. Een aanvaller hoeft alleen maar de browser van het slachtoffer een kwaadaardige XBAP (XAML Browser Applicatie) aan te laten roepen, om vervolgens via het lek willekeurige code uit te voeren en zo het systeem over te nemen.
Hypocriet
Microsoft adviseert Firefox-gebruikers dan ook dringend om de update te installeren, aangezien het zeer waarschijnlijk is dat hackers het lek zullen misbruiken. Daarnaast is het mogelijk om de plugin via “Tools”-> “Add-ons” > “Plugins” -> “Windows Presentation Foundation” uit te schakelen. Het incident zal bij Google ongetwijfeld voor het nodige leedvermaak zorgen. Onlangs haalde de softwaregigant nog keihard naar de zoekgigant uit, omdat een Google plugin voor Internet Explorer de browser onveilig zou maken. Het raadde iedereen dan ook af om de plugin te installeren.
Sommige Firefox-gebruikers hadden problemen met het verwijderen van de uitbreiding, waarop Mozilla inmiddels heeft besloten die zelf te blokkeren. "We hebben Microsoft ingelicht, om aan te geven dat we voor alle gebruikers via ons blocklist mechanisme de extensie zullen uitschakelen. Microsoft ging akkoord met het plan", zegt Mozilla's Mike Shaver. Na het groene licht van Microsoft werd de blocklist aanpassing meteen in werking gesteld, waardoor bij sommige gebruikers al binnen een uur de gewraakte extensie werd uitgeschakeld.
Ik vind het wel vreemd dat de redactie hier dat niet even checkt, gewoon http://blogs.technet.com/srd/archive/2009/10/12/ms09-054.aspx lezen.
Voor degenen die te lui zijn om dat te doen zal ik even een stukje quoten:
How can I protect myself?
Customers should apply MS09-054 as this addresses the underlying vulnerability for all users, both IE and Firefox. While youre evaluating and testing your deployment of MS09-054, you may want to consider the following workarounds.
<knip IE workaround>
For Firefox users with .NET Framework 3.5 installed, you may use Tools-> Add-ons -> Plugins, select Windows Presentation Foundation, and click Disable.
Ik vind het wel vreemd dat de redactie hier dat niet even checkt, gewoon http://blogs.technet.com/srd/archive/2009/10/12/ms09-054.aspx lezen.
Microsoft adviseert (http://blogs.technet.com/srd/archive/2009/10/12/ms09-054.aspx) Firefox-gebruikers dan ook dringend om de update te installeren [...]
Als ik het toch nooit gebruik, kan het net zo goed gede-installeerd worden- maar waar hoort ie dan bij?
Als ik het toch nooit gebruik, kan het net zo goed gede-installeerd worden- maar waar hoort ie dan bij?
Hij is geïnstalleerd door Windows update, meer info erover, en hoe compleet te verwijderen:
http://technologyexpert.blogspot.com/2009/05/how-to-rid-yourself-of-microsofts.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
