Microsoft heeft tijdens de patchdinsdag van april ernstige beveiligingslekken in de Windows Remote Desktop Client en Internet Explorer gedicht waardoor kwaadwillenden kwetsbare computers konden overnemen. Zowel voor het lek in de Remote Desktop Client als de twee kwetsbaarheden in IE zou het bezoeken van een kwaadaardige website volstaan om gehackt te worden.

Althans, dat stelt Microsoft in de Security Bulletins. In het geval van de Remote Desktop-kwetsbaarheid bevindt het probleem zich in de Remote Desktop ActiveX control. Deze is alleen toegankelijk via Internet Explorer of een andere browser die de ActiveX-technologie ondersteunt. Daarnaast zouden gebruikers standaard op de 'gouden balk' moeten klikken om het ActiveX control te laden, voegt Microsoft's Jonathan Ness toe.

De kwetsbaarheid werd door onderzoeker 'c1d2d9acc746ae45eeb477b97fa74688' ontdekt en via het Zero Day Initiative 'bug bounty' programma aan Microsoft gerapporteerd. De softwaregigant verwacht dat er binnen 30 dagen een exploit is ontwikkeld die van dit lek misbruik maakt.

Internet Explorer
Vorige week dachten experts en media nog dat Microsoft het beveiligingslek zou dichten dat tijdens de Pwn2Own-wedstrijd was ontdekt. Tijdens de wedstrijd werd door onderzoekers en hackers de veiligheid van browsers getest. Het Franse beveiligingsbedrijf VUPEN wist toen Internet Explorer 10 te kraken

Tijdens het evenement sneuvelden ook Google Chrome en Mozilla Firefox, maar voor deze browsers verscheen binnen 24 uur een update. Microsoft laat in een aanvulling op de Security Bulletins weten dat de patch voor de Pwn2Own-lekken op een later moment zal verschijnen.

De nu verholpen lekken zijn dan ook niet van VUPEN afkomstig. Wel stelt Microsoft dat misbruik van de nu gepatchte IE-lekken lastig is en er wordt in de komende 30 dagen dan ook geen betrouwbare exploit verwacht.

Verder zijn er updates voor Microsoft Antimalware Client, Office en Server Software verschenen. De updates voor IE en Remote Desktop krijgen de hoogste prioriteit. Updaten kan via Windows Update.