Microsoft noodpatch voor kritiek Windows Server-lek
Microsoft zal vanavond een noodpatch voor een kritiek lek in Windows Server 2003, 2008 en 2012 uitbrengen. De update verschijnt echter ook voor andere ondersteunde Windowsversies, maar fungeert daar als extra beveiligingslaag, aangezien deze versies van het besturingssysteem niet kwetsbaar zijn.
Het gaat hier om Security Bulletin MS14-068, één van de twee updates die oorspronkelijk afgelopen dinsdag zouden verschijnen maar door de softwaregigant werden uitgesteld. Opmerkelijk aan het lek is dat Microsoft het als "kritiek" bestempelt, terwijl een aanvaller via de kwetsbaarheid alleen zijn rechten op het systeem kan verhogen als hij hier al toegang toe heeft. De beoordeling "kritiek" reserveert Microsoft normaliter alleen voor lekken waardoor een aanvaller willekeurige code op het systeem kan uitvoeren zonder interactie van de gebruiker.
Noodpatches worden daarnaast alleen uitgebracht voor zeer ernstige beveiligingsproblemen die vaak ook actief worden aangevallen. Of dit ook met deze kwetsbaarheid het geval is laat Microsoft niet in de aankondiging weten. Gebruikers krijgen het advies om de update meteen te installeren zodra die beschikbaar is. De update is vanaf 19:00 uur Nederlandse tijd via Windows Update te downloaden.
Ook bij microsoft tot op heden geen extra info kunnen ontdekken
Heel erg knullig of onhandig als er wordt verwezen naar een link, die niet is gevuld.
Toch wel handig dat de redactie, vooruitlopend op het door Microsoft invullen van die pagina, alvast ook naar die pagina verwees. Beslist niks knulligs aan die handelwijze van de redactie.
http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx
Maar nu https://technet.microsoft.com/en-us/library/security/ms14-068.aspx#ID0EGIAE lezend ("Kerberos Checksum Vulnerability - CVE-2014-6324") begrijp ik het volledig, uit de FAQ in die pagina:
An attacker could use this vulnerability to elevate an unprivileged domain user account to a domain administrator account. An attacker that successfully exploited this vulnerability could impersonate any user on the domain, including domain administrators, and join any group. By impersonating the domain administrator, the attacker could install programs; view, change or delete data; or create new accounts on any domain-joined system.
Aanvulling: credits voor het vinden van dit lek gaan naar "The Qualcomm Information Security & Risk Management team, with special recognition for Tom Maddock" (bron: https://technet.microsoft.com/library/security/dn820091.aspx). Ik ken Qualcomm niet als een bedrijf dat snel na de beschikbaarheid van patches, PoCs of exploits publiceert, maar je weet maar nooit.
http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx
Uit https://isc.sans.edu/diary/Microsoft+November+out-of-cycle+patch+MS14-068/18967:
In de comments in https://isc.sans.edu/forums/diary/Microsoft+November+out-of-cycle+patch+MS14-068/18967 zie ik dat meerdere mensen problemen rapporteren met de patches op Server 2003. Nog even uitkijken dus!
Na het drukken van F5 krijg ik wel content (nog steeds mixed, https+http) te zien in https://support.microsoft.com/kb/3011780. In die pagina is nog niets te vinden over potentiële risico's/problemen m.b.t. deze patch. Ik zie ook nergens waarom deze patch een week werd uitgesteld.
Duidelijk is dat de reorganisatie van Microsoft, waaronder het opheffen van de "Trustworthy Computing Group" (zie https://www.security.nl/posting/402729/Microsoft+heft+Trustworthy+Computing+Group+op) het patchproces er niet betrouwbaarder op gemaakt heeft.
Ook vanuit interne Microsoft gelederen klinkt kritiek hierop van o.a. Dustin Childs. Dat is geen onbekende, voer zijn naam maar eens in in het zoekveld op security.nl (of Google naar: site:security.nl dustin childs voor nog meer hits). O.a. in https://twitter.com/dustin_childs/status/532241691630002176 is de kritiek op zijn werkgever niet mals (Dustin werkt er nog wel, maar op een andere plek):
Ook interessant, momenteel te zien als 2 tweets in https://twitter.com/dustin_childs:
Ik heb er nu niet specifiek op gelet maar ik heb al wel heel vaak geconstateerd dat als Microsoft pagina's traag laden in
Firefox of Seamonkey, dezelfde pagina's gewoon snel laden in Internet Explorer.
Dat dateert al van veel langer terug dan september. Ik kijk rond patchdinsdag altijd in dat overzicht van uitgegeven
patches, en daar is dit fenomeen heel sterk zichtbaar. Ik heb ook wel eens gedacht dat de boel gewoon down of overbelast
was tot ik per ongeluk een keer met IE keek.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
