Nieuw lek in Internet Explorer 8 onthuld
Er is een nieuw beveiligingslek in Internet Explorer 8 onthuld waarvoor nog altijd geen patch van Microsoft beschikbaar is. Via het lek kan een aanvaller de computer in het ergste geval volledig overnemen. Alleen het bezoeken van een gehackte of kwaadaardige website is hiervoor voldoende.
De details zijn afkomstig van beveiligingsbedrijf TippingPoint, dat Microsoft op 11 oktober van vorig jaar over het probleem inlichtte. TippingPoint hanteert een 'deadline' van zes maanden waarin gewaarschuwde ontwikkelaars en leveranciers de gelegenheid krijgen om de kwetsbaarheid in hun producten te verhelpen. Als de bedrijven het probleem niet patchen, zal TippingPoint de details publiceren. Op 8 mei waarschuwde het beveiligingsbedrijf Microsoft nogmaals dat het de details zou openbaren, wat nu ook is gebeurd.
Windows XP
Internet Explorer 8 is beschikbaar voor Windows XP, Vista en Windows 7. In het geval van Windows XP zal het lek niet meer worden gepatcht. Gebruikers van IE8 kunnen zich op verschillende manieren beschermen. De eerste maatregel betreft instellingen die via de Internetopties zijn in te stellen. Zo moet het beveiligingsniveau van de 'Internet zone' op 'Hoog' worden gezet en moet het "Uitvoeren van scripts" en het "Actief uitvoeren van scripts" worden uitgeschakeld.
Een andere optie is het installeren van de gratis Enhanced Mitigation Experience Toolkit (EMET). Deze twee maatregelen zullen IE8-gebruikers beschermen, aldus Microsoft. Gebruikers van Windows 7 krijgen van het CERT Coordination Center (CERT-CC) van de Carnegie Mellon Universiteit het advies om naar Internet Explorer 11 te upgraden.
http://zerodayinitiative.com/advisories/ZDI-14-140/
In de broninformatie geen woord over dat tussen XP met IE8 en Win7 met IE11, namelijk Vista met IE9.
Niet kwetsbaar voor het aangeduide probleem, of over het hoofd gezien?
http://zerodayinitiative.com/advisories/ZDI-14-140/
In de broninformatie geen woord over dat tussen XP met IE8 en Win7 met IE11, namelijk Vista met IE9.
Niet kwetsbaar voor het aangeduide probleem, of over het hoofd gezien?
Volgens mij niet want die website zal wel in gaan van de laaste build/release van de OS. En die hebben IE9(vista) en XP is niet meer supported (embedded xp is de end of license date 2016. vooral voor atms denk ik). Hoe dan ook als zo'n systeem met XP dat nog na de end of license datum gebruikt wordt is illegaal, want dan is je product unlicensed. Weet wel niet zeker of wat ik hier nu zeg klopt, maar ik denk wel dat het zo te werk gaat aangezien het Microsoft is.
hx0r3z: Er is geen sprake van end of license, maar van end of life. Dus wil je het nog gebruiken, ga je gang, maar verwacht van Microsoft geen support meer. Iets wat volgens mij bij veel software makers is. Dus bij MS (of anderen) melden dat er in die versies een fout zit heeft logischerwijze geen zin.
http://www.kb.cert.org/vuls/id/239151
http://zerodayinitiative.com/advisories/ZDI-14-140/
In de broninformatie geen woord over dat tussen XP met IE8 en Win7 met IE11, namelijk Vista met IE9.
Niet kwetsbaar voor het aangeduide probleem, of over het hoofd gezien?
Nou, ik denk dat het voor XP-gebruikers wijs zou zijn om maatregelen te nemen. XP wordt weliswaar niet genoemd, maar voor alle zekerheid zou ik - tot nader order - toch maar de aanbevolen workaround toepassen.
XP wordt wel degelijk genoemd:
"Users that are unable to upgrade past Internet Explorer 8 should consider the following workarounds. Windows XP users will not be able to upgrade past Internet Explorer 8."
Dat XP-gebruikers maatregelen moeten nemen betreffend IE8 , dat mag voor zich spreken.
Maar ik doelde specifiek op de Windows en IE versie die helemaal niet werd genoemd, de Windows en IE versie tussen XP met IE8 en Win7 met IE11: namelijk Vista met IE9.
Is IE9, onder Vista, niet kwetsbaar voor het aangeduide probleem, of is Vista met IE9 over het hoofd gezien?
Daarover geen woord in de genoemde bronnen.
In de broninformatie geen woord over dat tussen XP met IE8 en Win7 met IE11, namelijk Vista met IE9.
Het was mij niet helemaal helder wat je bedoelde met deze regel.
Dat was wellicht ook waarover Peter V. struikelde.
Ik hoop dat ik met de formulering in mijn reactie van 11:50 uur beter duidelijk maakte wat ik bedoelde: ik doelde specifiek op de Windows en IE versie die helemaal niet werd genoemd, de Windows en IE versie tussen XP met IE8 en Win7 met IE11: namelijk Vista met IE9.
http://www.kb.cert.org/vuls/id/239151
http://zerodayinitiative.com/advisories/ZDI-14-140/
In de broninformatie geen woord over dat tussen XP met IE8 en Win7 met IE11, namelijk Vista met IE9.
Niet kwetsbaar voor het aangeduide probleem, of over het hoofd gezien?
Nou, ik denk dat het voor XP-gebruikers wijs zou zijn om maatregelen te nemen. XP wordt weliswaar niet genoemd, maar voor alle zekerheid zou ik - tot nader order - toch maar de aanbevolen workaround toepassen.
XP wordt wel degelijk genoemd:
"Users that are unable to upgrade past Internet Explorer 8 should consider the following workarounds. Windows XP users will not be able to upgrade past Internet Explorer 8."
Dat XP-gebruikers maatregelen moeten nemen betreffend IE8 , dat mag voor zich spreken.
Maar ik doelde specifiek op de Windows en IE versie die helemaal niet werd genoemd, de Windows en IE versie tussen XP met IE8 en Win7 met IE11: namelijk Vista met IE9.
Is IE9, onder Vista, niet kwetsbaar voor het aangeduide probleem, of is Vista met IE9 over het hoofd gezien?
Daarover geen woord in de genoemde bronnen.
Waarom? Omdat het niet relevant is, goh...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
