Microsoft gisteren zes Security Bulletins uitgebracht voor beveiligingslekken in Windows en Office, waardoor in het ergste geval een worm zich kan verspreiden. In Windows gaat het om twee kwetsbaarheden die een aanvaller volledige controle over de machine geven als hij een speciaal geprepareerd pakketje stuurt. De lekken zitten in de Windows Logging Server en Web Services on Devices Application Programming Interface (WSDAPI). De kwetsbaarheid in de logging server is aanwezig in Microsoft Windows 2000 Server Service Pack 4, terwijl het WSDAPI-lek Windows Vista en Server 2008 treft.

Een ander lek, volgens Microsoft "belangrijk", kan een Denial of Service veroorzaken als een aanvaller een speciaal LDAP of LDAPS pakketje naar een Windows 2000, XP, Server 2003 of Server 2008 machine stuurt, waarop de Active Directory directory service draait. De drie gevaarlijkst lekken bevinden zich in de Windows Kernel-Mode Drivers. Via een geprepareerd Embedded OpenType (EOT) font, kunnen aanvallers willekeurige code uitvoeren. De kwetsbaarheden zijn in alle moderne Windows versies aanwezig, op Windows 7 na. Microsoft verwacht dat er binnen 30 dagen voor deze lekken exploitcode verschijnt die aanvallers voor drive-by download aanvallen zullen gebruiken. Security Bulletin MS09-065 moeten systeembeheerders dan ook als eerste installeren, zo blijkt uit het overzicht van de softwaregigant.

Office
Naast Windows zijn er ook negen lekken in Office gedicht. Acht van de negen lekken zitten in Excel en geven de aanvaller dezelfde rechten als de ingelogde gebruiker als die een kwaadaardig bestand opent. De kwetsbaarheid in Word laat een aanvaller het hele systeem overnemen, ongeacht de rechten van de gebruiker. Ook voor deze lekken verwacht Microsoft dat er exploits zullen verschijnen. Het volledige overzicht van alle Security Bulletins is op deze pagina te vinden. Updaten kan via Windows Update en de Automatische Update functie.