Microsoft patcht 23 lekken in Windows en IE
Tijdens de patchdinsdag van augustus heeft Microsoft acht beveiligingsupdates uitgebracht die in totaal 23 lekken in Windows, Internet Explorer en Exchange dichten. De meeste kwetsbaarheden bevinden zich in Internet Explorer. Microsoft Security Bulletin MS13-059 verhelpt 11 ernstige lekken die direct aan Microsoft waren gemeld. Het bezoeken van een kwaadaardige of gehackte website met een kwetsbare IE-versie is voldoende om een aanvaller willekeurige code op het systeem te laten uitvoeren.
Ook vier lekken in de Windowskernel, waarvan er een al bekend was voordat de update van Microsoft uitkwam, behoren tot het verleden. Via deze kwetsbaarheden was het voor een aanvaller mogelijk zijn rechten op het systeem te verhogen.
Exchange
In het geval van de update voor Exchange betreft het drie lekken die allemaal al openbaar waren en een aanvaller ook toegang tot het systeem geven. Hiervoor zou een gebruiker een speciaal geprepareerd bestand via de Outlook Web App (OWA) moeten bekijken. De overige problemen bevinden zich in de Windows NAT Driver en ICMPv6, waardoor een Denial of Service mogelijk was.
Als laatste is ook een kwetsbaarheid in Active Directory Federation Services (AD FS) verholpen. Hierdoor was het mogelijk voor een aanvaller om informatie over een service account dat de AD FS gebruikte te achterhalen om vervolgens van buiten het bedrijfsnetwerk proberen in te loggen.
De updates zijn via Windows Update of de Automatische Updatefunctie te downloaden.
Helaas incorrect. Met deze kwetsbaarheid is het mogelijk om de accountgegevens van de service account te achterhalen, en vervolgens indien er een password policy aanwezig is via incorrecte logons het account te locken; wat tot een DoS leidt. Uiteraard als je als wachtwoord '123' gebruikt kan het inloggen; maar in eerste instantie gaat het om het locken en dus onbeschikbaar maken van dat account; en services die dat account gebruiken.
Maar alsnog ellende; dus snel patchen maar.
MegaN00B
En ook voor Adobe Flash Player voor andere browsers dan IE10 onder Windows 8 heeft Adobe geen updates uitgebracht.
Viel er niets te patchen aan Flash Player?
Ik kan me dat werkelijk nauwelijks voorstellen, dus ik vind het nogal merkwaardig.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
