Microsoft maakt weer "per ongeluk" vergeten lek bekend, dit keer in Defender
Microsoft heeft opnieuw het bestaan van een "per ongeluk" vergeten kwetsbaarheid bekendgemaakt. Het gaat om een beveiligingslek in de antivirussoftware Defender, aangeduid als (CVE-2023-24934). Via het beveiligingslek kan een aanvaller door middel van een speciaal geprepareerd bestand detectie door de Defender-virusscanner voorkomen.
Microsoft had tijdens de patchdinsdag van april beveiligingsupdates voor het probleem uitgebracht, maar het bestaan van de kwetsbaarheid niet bekendgemaakt. Dat is nu alsnog gedaan. Microsoft maakte tijdens de patchronde van april verschillende beveiligingslekken bekend die het eerder al had gepatcht. Het gaat om kwetsbaarheden in Microsoft SQL Server, Windows Graphics Component en Windows Remote Procedure Call Service.
Vanwege de "per ongeluk" vergeten update voor SQL Server kreeg Microsoft nog felle kritiek van securitybedrijf ZDI, dat het techbedrijf betichtte van het "stilletjes patchen" van kwetsbaarheden.
Microsoft is een bedrijf dat workflow management tools levert aan bedrijven. Als ze in beginsel wel publiceren en daar alleen van afwijken als er een zwaarwegende reden voor is dan stel ik me voor dat ze een workflow hebben ingericht waarin de identificatie en omschrijving van een patch volautomatisch in de gepubliceerde documentatie van een patchdinsdag belanden, tenzij iemand expliciet aanvraagt dat dat onderdrukt wordt, met opgave van die zwaarwegende reden, en iemand met de bevoegdheid daartoe het onderdrukken goedkeurt.
Zoals Microsoft zelf zegt over Workflow Automation and Management: get work done faster; improve accuracy; make people happier; track your work; simplify reporting.
Dus: Passen ze hun eigen tools om processen betrouwbaarder te maken niet zelf toe? Of doen ze het maar halfslachtig? Geloven ze zelf niet in wat ze aan hun klanten verkopen? Of gebruiken ze het allemaal wel goed en jokken ze dat ze het "vergeten" zijn? Als je een goede reden hebt om de bekendmaking uit te stellen tot een tijdje na de patch, waarom zou je die reden verzwijgen op het moment dat je het bekendmaakt? Dat soort vragen roept dit bij me op.
Fabrikant: Nee er is geen probleem bekend.
Constatering: 2 maanden later, het probleem is weg na een update.
Klant: Hadden jullie toch een probleem?
Fabrikant: Ja dat was al 6 maanden geleden bekend.
Klant: WTF...
Niet alleen een probleem van Microsoft vrees ik, ook hardware fabrikanten kunnen er wat van.
Ben tegenwoordig al blij dat er niets fout gaat na de update.(beetje overdreven natuurlijk).
Dus ik verwacht nog wel 10 tallen van dit soort meldingen.
Dus ik verwacht nog wel 10 tallen van dit soort meldingen.
Niet alleen Microsoft, ook Google en Apple en verschillende Open Source bouwers hebben regelmatig lekken verzwegen. Ik kan me daar nog iets bij voorstellen, als je het bekend maakt vergroot je de kans op misbruik.
In dit geval hebben ze iets gepatched zonder te vertellen dat ze iets patchen daar heb ik persoonlijk minder moeite mee dan actief misbruikte lekken stil houden.
Dus ik verwacht nog wel 10 tallen van dit soort meldingen.
Niet alleen Microsoft, ook Google en Apple en verschillende Open Source bouwers hebben regelmatig lekken verzwegen. Ik kan me daar nog iets bij voorstellen, als je het bekend maakt vergroot je de kans op misbruik.
In dit geval hebben ze iets gepatched zonder te vertellen dat ze iets patchen daar heb ik persoonlijk minder moeite mee dan actief misbruikte lekken stil houden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
No more ransomware!
De nieuwe Ransomware Awareness Experience training biedt een realistische maar vooral leuke introductie in de wereld van ransomware. De deelnemers ervaren hoe eenvoudig een organisatie het slachtoffer kan worden van ransomware en leren meteen hoe een besmetting kan worden voorkomen!