Eerste beveiligingslekken in IE9
Internet Explorer 9 is amper een week uit, maar verschillende beveiligingsbedrijven claimen over meerdere beveiligingslekken in Microsofts nieuwe browser te beschikken. Op maandag kwam het Franse VUPEN met het bericht dat het vijf ongepatchte "use after free" kwetsbaarheden heeft, waarmee een aanvaller in theorie systemen kan laten crashen of overnemen. Het Franse beveiligingsbedrijf is van plan om binnenkort de details te onthullen.
Gisteren liet het Zero Day Initiative weten dat tenminste drie eerder aan Microsoft gerapporteerde lekken in een oudere versie van IE, ook in Internet Explorer 9 aanwezig zijn. De ernst van de kwetsbaarheden laat ZDI niet weten, maar het beveiligingsbedrijf houdt er rekening mee dat meer oude lekken de nieuwe browser zullen plagen.
Ik bedoel dus, dat alle browsers wel lekken hebben, zolang men een virusscanner installeerd met firewall en op internet gaat met verstand kan er niets gebeuren.
Ik bedoel dus, dat alle browsers wel lekken hebben, zolang men een virusscanner installeerd met firewall en op internet gaat met verstand kan er niets gebeuren.
Sorry hoor, maar dan heb jij het niet helemaal gesnopen!
http://twitter.com/VUPEN/status/48744972765237249
Overigens meld VUPEN deze lekken niet aan de vendors:
http://twitter.com/cBekrar/status/48777927046864897
http://twitter.com/cBekrar/status/48790068395126784
Vreemde logica; Microsoft geeft volgens VUPEN niks om security; daarom rapporteren ze de security bugs niet aan Microsoft maar verkopen ze het aan klanten.
Ten tweede kan je al aardig wat problemen voorkomen door NIET met beheerdersrechten in te loggen. En aangezien dat nog steeds de standaard werkwijze is bij PC's thuis (wanneer ze windows gebruiken) zal dat voorlopig nog niet op te lossen zijn. Kan je wel 20 virusscanners installeren.
Niet dat unpriviliged inloggen op een windowsmachine er meteen voor zorgt dat je veilig bent, want je kan nog steeds bij al het geheugen wat aan de ene kant een voordeel is als je vals wilt spelen met trainers in div spellen, maar vanuit beveiliging bekeken is het natuurlijk enorm fout.
Maar ja, het zal wel weer een undocumented feature zijn.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
