Trio zero-day exploits voor Microsoft
Na beveiligingslekken waar nog geen patch voor is in Internet Explorer 7 en WordPad, is het nu de beurt aan MS SQL Server 2000 en 2005. Er is een lek gevonden dat aanvallers de mogelijkheid geeft om "zelfgebakken" code te laten uitvoeren in de server. Volgens de beveiligingsexperts van SEC Consult, wordt het probleem veroorzaakt door een bug in het geheugenbeheer van het programma.
Het succes van een aanvaller hangt echter af van de gebruikte Windows versie. SEC zegt dat het een exploit heeft ontworpen die met succes malafide code naar een testmachine stuurt. Naast geauthenticeerde gebruikers is het lek in theorie ook via SQL-injectie te misbruiken. Het bedrijf zegt dat Microsoft sinds april al op de hoogte is, maar ondanks de belofte om in september een patch uit te brengen, is een definitieve datum nog altijd onbekend. SEC raadt beheerders aan om de kwetsbare procedure te verwijderen.
Het lijkt onmogelijk om eens een fatsoenlijke veilige besturings systeem neer te zetten voor zo'n miljarden bedrijf...
We kunnen wel overstappen op Linux maar ben bang als iedereen dat gaat doen dat de hackers zich dan ook meer gaan richten op Linux en zal daar snel hetzelfde probleem ontstaan :)
We? Ik ben allang overgestapt!
Het gaat om MS SQL en niet om de MySQL versie voor windows.
Daarbij: Een 0Day is een kwetsbaarheid waar exploitcode voor in het wild aanwezig is (zoals een worm of trojan) en geen patch beschikbaar is van de leverancier. Dit is Proof of Concept en niet meer dan dat. Meer incentive voor Microsoft om inderdaad met een patch te komen, dat dan weer wel. Lijkt me niet onbelangrijk, aangezien deze vondst al sinds April dit jaar bekend is bij ze.
Het lijkt onmogelijk om eens een fatsoenlijke veilige besturings systeem neer te zetten voor zo'n miljarden bedrijf...
We kunnen wel overstappen op Linux maar ben bang als iedereen dat gaat doen dat de hackers zich dan ook meer gaan richten op Linux en zal daar snel hetzelfde probleem ontstaan :)
De dag waarop Linux-patch day headline nieuws is hier en zich niet beperkt tot Secunia weet je dat je goed zit. Dat je uiteindelijk het 1 digit marktaandeel ferm overstijgt. Malware schrijvers gaan zich niet laten afschrikken door al die would-be unix-specialisten. Overigens als je dit forum wat grondiger zou lezen zijn die 0-day exploits totaal onbelangrijk.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Chief Information Security Officer
Met jou als Chief Information Security Officer werken we samen aan het inrichten van een digitale leer-, werk- en onderzoeksomgeving en investeren in digitalisering. De beveiliging van alle daarbij gebruikte middelen en informatie én het zorgen voor bewustzijn bij alle partijen is hierbij een belangrijke pijler. Daar kom jij in beeld.
IT Security Officer
Utrecht heeft jou nodig! Als Information Security Officer vertaal je beleid naar technische uitvoering. Dit is cruciaal voor het waarborgen van de informatiebeveiliging van onze inwoners. Je krijgt de kans om betrokken te zijn bij complexe projecten met de nieuwste technologieën en kunt jouw stempel drukken op innovatie. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.