'Microsoft wist al zeker maand van ernstig IE-lek'
Het ernstige beveiligingslek in Internet Explorer waar vrijdag een noodpatch voor verscheen was zeker al een maand en mogelijk 462 dagen al bij Microsoft bekend. In de security advisory bedankt de softwaregigant een anonieme onderzoeker die het probleem had ontdekt en via het Zero Day Initiative (ZDI) bij Microsoft rapporteerde. Security.nl meldde dit vrijdag al, maar nu heeft ook Eric Romang zich in de discussie gemengd.
Romang maakte de kwetsbaarheid openbaar, nadat hij een exploit op een server ontdekte die misbruik van het toen nog onbekende lek maakte. "Dit betekent dat de kwetsbaarheid nog voor mijn ontdekking door een andere onderzoeker was ontdekt, gemeld aan ZDI, die het vervolgens aan Microsoft rapporteerde", zo laat Romang op zijn eigen weblog weten.
Aan de hand van de publicaties van ZDI is het lastig om te bepalen wanneer het lek nu precies was gemeld. De laatst gerapporteerde Microsoft kwetsbaarheid dateert van een maand geleden, terwijl de eerste 462 dagen oud is. Dat komt uit op een gemiddelde van 168 dagen.
China
De vraag is nu hoe de kwetsbaarheid in handen van vermoedelijk Chinese hackers is gekomen. Romang merkt op dat HP de gerapporteerde beveiligingslekken gebruikt voor de eigen intrusion prevention systemen. Klanten zijn zo beschermd tegen aanvallen terwijl de softwareleverancier aan een update werkt. Daardoor is het mogelijk dat de apparaten zijn 'gereverse engineered', hoewel Romang zich afvraagt of de lekken ook niet zijn verkocht.
Beveiligingsexpert Robert Graham stelt dat als er een grootschalige operatie door de Chinese overheid achter deze aanvallen zit, dan is het volgens hem zeker dat ze over de apparaten van TippingPoint beschikken en die gebruiken om informatie over zero-day kwetsbaarheden te vinden.
FBI
Graham demonstreerde tijdens de Black Hat conferentie dat het mogelijk is om een IPS te reverse engineeren en zo informatie over zero-days te vinden. De FBI dreigde de onderzoeker dat hij zijn lezing wegens de nationale veiligheid moest annuleren, omdat de Chinezen de methode anders ook zouden ontdekken.
"We hebben de lezing toch gegeven, omdat we vonden dat de Chinezen dit al doen en het is iets waar iedereen van moet weten, en niet iets dat de FBI moet verbergen om TippingPoint's reputatie te beschermen."
Dat is zo bij bijna alle updates van Windows Update!
Ik haal ze altijd op met wget en dan is de filedatum vrijwel altijd een tot enkele maanden in het verleden.
Er worden issues gevonden, daar worden patches voor gemaakt, en pas als er gebruik van de lekken gemaakt wordt dan wordt het ineens een Windows Update item.
Aan de ene kant kun je natuurlijk stellen dat extra testen en kwaliteitscontrole nooit kwaad kan en dat ze dus eventueel die patches nog kunnen aanpassen voor ze de wereld in gestuurd worden, maar aan de andere kant zijn de systemen van de klanten zo wel onnodig kwetsbaar.
Thaddy
Dat is zo bij bijna alle updates van Windows Update!
Ik haal ze altijd op met wget en dan is de filedatum vrijwel altijd een tot enkele maanden in het verleden.
Er worden issues gevonden, daar worden patches voor gemaakt, en pas als er gebruik van de lekken gemaakt wordt dan wordt het ineens een Windows Update item.
Aan de ene kant kun je natuurlijk stellen dat extra testen en kwaliteitscontrole nooit kwaad kan en dat ze dus eventueel die patches nog kunnen aanpassen voor ze de wereld in gestuurd worden, maar aan de andere kant zijn de systemen van de klanten zo wel onnodig kwetsbaar.
Handel is Handel zeggen we dan als nuchtere hollander(s).
er word in gehandeld, door overheden en verschillende particuliere bedrijven, met name in amerika.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
