Microsoft patcht ernstige lekken in Exchange, IE en Windows
Microsoft heeft tijdens de patchcyclus van februari bijna honderd kwetsbaarheden verholpen, waaronder een zerodaylek in Internet Explorer dat actief werd aangevallen voordat de beveiligingsupdate beschikbaar was, alsmede ernstige lekken in Exchange en LNK-bestanden.
Daarnaast zijn er vier kwetsbaarheden gepatcht waarvan de details al eerder openbaar waren gemaakt, maar die volgens Microsoft niet zijn aangevallen. Op 17 januari waarschuwde Microsoft al voor het zerodaylek in Internet Explorer en kwam toen met een tijdelijke oplossing. Via de kwetsbaarheid kan een aanvaller in het ergste geval systemen volledig overnemen. Alleen het bekijken van een kwaadaardige of gecompromitteerde website of het te zien krijgen van een besmette advertentie is voldoende. Er is geen verdere interactie van de gebruiker vereist. Vervolgens kan een aanvaller code met de rechten van de ingelogde gebruiker uitvoeren. De kwetsbaarheid werd door onderzoekers van Google en securitybedrijf Qihoo 360 aan Microsoft gerapporteerd.
De vier andere kwetsbaarheden bevonden zich in de Windows Installer, Internet Explorer, Edge en Secure Boot. In het geval van de twee lekken in Windows Installer was het mogelijk voor een aanvaller die al toegang tot een systeem had om zijn rechten te verhogen. De kwetsbaarheid in Microsofts browsers maakte het mogelijk voor een aanvaller om te bepalen welke websites een gebruiker had geopend. Via het lek in Secure Boot was het mogelijk om Secure Boot te omzeilen en niet vertrouwde software te laden.
Exchange en LNK-bestanden
Twee andere kwetsbaarheden die Microsoft gisteren patchte en volgens het Zero Day Initiative belangrijk zijn bevinden zich in Microsoft Exchange en .LNK-bestanden. De kwetsbaarheid in Exchange maakt het mogelijk om kwetsbare Exchange-servers door het versturen van een speciaal geprepareerde e-mail over te nemen. Er is geen interactie van gebruikers vereist.
Ook via een ernstige kwetsbaarheid in LNK-bestanden is het mogelijk om Windowssystemen over te nemen. Alleen bij het verwerken van een LNK-bestand kan er kwaadaardige code op het systeem worden uitgevoerd. Een aanvaller kan bijvoorbeeld een usb-stick naar een slachtoffer sturen met een kwaadaardig LNK-bestand en malware. Als de usb-stick in Windowsverkenner of een andere applicatie wordt geopend die het LNK-bestand verwerkt, wordt de kwaadaardige code automatisch uitgevoerd.
Het is niet nodig voor de gebruiker om het LNK-bestand zelf te openen. Deze kwetsbaarheid is ook in Windows 7 aanwezig. In het geval van Windows 7 zullen alleen organisaties met een onderhoudscontract de beveiligingsupdate ontvangen. Het is niet voor het eerst dat er een probleem met LNK-bestanden in Windows wordt aangetroffen. De beruchte Stuxnetworm maakte ook gebruik van een soortgelijke kwetsbaarheid. De beveiligingsupdates zullen op de meeste systemen automatisch worden geïnstalleerd.
Op https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-0688 leest het aardig minder critical weg.
EU hub boete voor dit soort dingen. Moeten ze maar hun aandacht bij hun core business houden.
En dan toch moeten wachten tot "patch tuesday". In de tussentijd stond de deur dus gewoon wagenwijd open en hadden kwaadwillenden vrij spel!
Mensen, dat is toch ongehoord? Je krijgt dit systeem mee geïnstalleerd op de computer bij aanschaf. Dan verwacht je toch dat je als consument serieus genomen wordt en dat diezelfde consument beschermd wordt? Waarom alleen op patchdinsdag (1 keer in de maand). Dat is toch geen werkbare situatie voor het gros van de wereld?
Microsoft: gooi die patchdinsdag de deur uit, en geef die fixes vrij zodra ze klaar zijn. En ook getest graag, want het gaat de laatste tijd wel erg vaak mis met de updates onder Windows 10.
https://www.ncsc.nl/actueel/beveiligingsadviezen
Maar de (pro) actieve systeembeheerder checkt deze pagina al dagelijks, toch ?
Inderdaad, rotten to the core. En als je geen gebruik wilt maken van Microsoft software dan word je doodleuk voor 'malloot' uitgemaakt [*]. Zo zijn ze, die Microsoft fans :-(
[*] https://www.security.nl/posting/643190#posting643204
En dan toch moeten wachten tot "patch tuesday". In de tussentijd stond de deur dus gewoon wagenwijd open en hadden kwaadwillenden vrij spel!
Mensen, dat is toch ongehoord? Je krijgt dit systeem mee geïnstalleerd op de computer bij aanschaf. Dan verwacht je toch dat je als consument serieus genomen wordt en dat diezelfde consument beschermd wordt? Waarom alleen op patchdinsdag (1 keer in de maand). Dat is toch geen werkbare situatie voor het gros van de wereld?
Microsoft: gooi die patchdinsdag de deur uit, en geef die fixes vrij zodra ze klaar zijn. En ook getest graag, want het gaat de laatste tijd wel erg vaak mis met de updates onder Windows 10.
Updates gelijk uitbrengen en grondig testen gaan niet samen
Ironisch is dat de gratis platformen wél kwaliteitsupdates leveren die zelden tot nooit tot problemen leiden. En als dat zo is wordt dat gemeld en krijg je zo snel mogelijk een fix daarop. Soms zelfs al dezelfde middag. Kijk... zó hoort het.
En dan toch moeten wachten tot "patch tuesday". In de tussentijd stond de deur dus gewoon wagenwijd open en hadden kwaadwillenden vrij spel!
Mensen, dat is toch ongehoord? Je krijgt dit systeem mee geïnstalleerd op de computer bij aanschaf. Dan verwacht je toch dat je als consument serieus genomen wordt en dat diezelfde consument beschermd wordt? Waarom alleen op patchdinsdag (1 keer in de maand). Dat is toch geen werkbare situatie voor het gros van de wereld?
Microsoft: gooi die patchdinsdag de deur uit, en geef die fixes vrij zodra ze klaar zijn. En ook getest graag, want het gaat de laatste tijd wel erg vaak mis met de updates onder Windows 10.
Inderdaad, rotten to the core. En als je geen gebruik wilt maken van Microsoft software dan word je doodleuk voor 'malloot' uitgemaakt [*]. Zo zijn ze, die Microsoft fans :-(
[*] https://www.security.nl/posting/643190#posting643204
Dat zijn niet Microsoft fans, dat zijn personen die niet op preken zitten te wachten over geloof. Daar zit een groot verschil in. Maar voor predikanten altijd last te te geloven. Immers hun geloof is altijd het beste.
En dan toch moeten wachten tot "patch tuesday". In de tussentijd stond de deur dus gewoon wagenwijd open en hadden kwaadwillenden vrij spel!
Mensen, dat is toch ongehoord? Je krijgt dit systeem mee geïnstalleerd op de computer bij aanschaf. Dan verwacht je toch dat je als consument serieus genomen wordt en dat diezelfde consument beschermd wordt? Waarom alleen op patchdinsdag (1 keer in de maand). Dat is toch geen werkbare situatie voor het gros van de wereld?
Microsoft: gooi die patchdinsdag de deur uit, en geef die fixes vrij zodra ze klaar zijn. En ook getest graag, want het gaat de laatste tijd wel erg vaak mis met de updates onder Windows 10.
Toch gek dat dit alleen bij Microsoft producten nodig is. Al die Linux servers draaien als een zonnetje zonder 'patch tuesday'.
Blijkbaar toch niet hè. Er blijkt een groot verschil in de kwaliteit van software te zijn want jouw voorbeelden komen amper voor in de malwarestatistieken, terwijl de Microsoft producten oververtegenwoordigd zijn.
Inderdaad, rotten to the core. En als je geen gebruik wilt maken van Microsoft software dan word je doodleuk voor 'malloot' uitgemaakt [*]. Zo zijn ze, die Microsoft fans :-(
[*] https://www.security.nl/posting/643190#posting643204
Dat zijn niet Microsoft fans, dat zijn personen die niet op preken zitten te wachten over geloof. Daar zit een groot verschil in. Maar voor predikanten altijd last te te geloven. Immers hun geloof is altijd het beste.
Je hebt een spiegel gevonden en ziet jezelf voor het eerst écht?
En aangezien het ongecontroleerd updates voor uitkomen, tja, dan is het gewoon afwachten totdat je een keer mag updaten. Of je pakt maakt gewoon je eigen voorspelbaarder planning.
Blijkbaar toch niet hè. Er blijkt een groot verschil in de kwaliteit van software te zijn want jouw voorbeelden komen amper voor in de malwarestatistieken, terwijl de Microsoft producten oververtegenwoordigd zijn.
Inderdaad, rotten to the core. En als je geen gebruik wilt maken van Microsoft software dan word je doodleuk voor 'malloot' uitgemaakt [*]. Zo zijn ze, die Microsoft fans :-(
[*] https://www.security.nl/posting/643190#posting643204
Dat zijn niet Microsoft fans, dat zijn personen die niet op preken zitten te wachten over geloof. Daar zit een groot verschil in. Maar voor predikanten altijd last te te geloven. Immers hun geloof is altijd het beste.
Je hebt een spiegel gevonden en ziet jezelf voor het eerst écht?
oh ken jij ook al die 'beer friday no worries weekend' ?
En aangezien het ongecontroleerd updates voor uitkomen, tja, dan is het gewoon afwachten totdat je een keer mag updaten. Of je pakt maakt gewoon je eigen voorspelbaarder planning.
Tjeezus, wat een knoeiers beschrijf je hier... Geen wonder dat het zo grootschalig gruwelijk mis gaat de laatste tijd.
Blijkbaar toch niet hè. Er blijkt een groot verschil in de kwaliteit van software te zijn want jouw voorbeelden komen amper voor in de malwarestatistieken, terwijl de Microsoft producten oververtegenwoordigd zijn.
Dat zijn PHP-stacks! Dat heeft normaliter niets met het onderliggende platform te maken. In theorie kan het probleem daarmee natuurlijk erger worden gemaakt door het op Windows webservers te gaan draaien. Laten we met z'n allen maar hopen dat dit nooit gebeurt.
Inderdaad, rotten to the core. En als je geen gebruik wilt maken van Microsoft software dan word je doodleuk voor 'malloot' uitgemaakt [*]. Zo zijn ze, die Microsoft fans :-(
[*] https://www.security.nl/posting/643190#posting643204
Dat zijn niet Microsoft fans, dat zijn personen die niet op preken zitten te wachten over geloof. Daar zit een groot verschil in. Maar voor predikanten altijd last te te geloven. Immers hun geloof is altijd het beste.
Je hebt een spiegel gevonden en ziet jezelf voor het eerst écht?
Tuurlijk, allemaal netjes in de pas lopen voor broodheer Microsoft en bij het bekende niet werkende blijven. Als het maar betaalt nietwaar? En het eigen verhaal is natuurlijk geen preek want jullie doen het met z'n allen, in een groep. Als lemmingen over de klif, zoals de laatste tijd bijna elke dag blijkt. Ga zo door zou ik zeggen! Je weet blijkbaar niet beter en dat zal met jouw instelling ook nooit veranderen.
Dit is juist waar bedrijven op zitten te wachten. Voorspelbaarheid. Updates implementeren kost heel veel tijd en energie. Dus wil je dit vooruit plannen en daarin is voorspelbaarheid zeer belangrijk.
Maar dan valt onder "voorspelbaarheid" óók dat je in de tussentijd mogelijk kwetsbaar bent, tot het moment dat er weer een update/patchronde is. Als dit de theorie is, dan is dat niet goed doordacht. Bedrijven willen inderdaad zekerheid, maar systemen langdurig blootstellen aan kwetsbaarheden en het gegeven dat deze kwetsbaarheden ook actief aangevallen worden is niet het soort zekerheid waarop gewacht wordt. Denk je wel?
Wie klaagt dat anderen een geloof verkondigen zou er goed aan doen zelf met feiten te komen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
