Microsoft noodpatch voor kritiek Windows Server-lek
Microsoft zal vanavond een noodpatch voor een kritiek lek in Windows Server 2003, 2008 en 2012 uitbrengen. De update verschijnt echter ook voor andere ondersteunde Windowsversies, maar fungeert daar als extra beveiligingslaag, aangezien deze versies van het besturingssysteem niet kwetsbaar zijn.
Het gaat hier om Security Bulletin MS14-068, één van de twee updates die oorspronkelijk afgelopen dinsdag zouden verschijnen maar door de softwaregigant werden uitgesteld. Opmerkelijk aan het lek is dat Microsoft het als "kritiek" bestempelt, terwijl een aanvaller via de kwetsbaarheid alleen zijn rechten op het systeem kan verhogen als hij hier al toegang toe heeft. De beoordeling "kritiek" reserveert Microsoft normaliter alleen voor lekken waardoor een aanvaller willekeurige code op het systeem kan uitvoeren zonder interactie van de gebruiker.
Noodpatches worden daarnaast alleen uitgebracht voor zeer ernstige beveiligingsproblemen die vaak ook actief worden aangevallen. Of dit ook met deze kwetsbaarheid het geval is laat Microsoft niet in de aankondiging weten. Gebruikers krijgen het advies om de update meteen te installeren zodra die beschikbaar is. De update is vanaf 19:00 uur Nederlandse tijd via Windows Update te downloaden.
Ook bij microsoft tot op heden geen extra info kunnen ontdekken
Heel erg knullig of onhandig als er wordt verwezen naar een link, die niet is gevuld.
Toch wel handig dat de redactie, vooruitlopend op het door Microsoft invullen van die pagina, alvast ook naar die pagina verwees. Beslist niks knulligs aan die handelwijze van de redactie.
http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx
Maar nu https://technet.microsoft.com/en-us/library/security/ms14-068.aspx#ID0EGIAE lezend ("Kerberos Checksum Vulnerability - CVE-2014-6324") begrijp ik het volledig, uit de FAQ in die pagina:
An attacker could use this vulnerability to elevate an unprivileged domain user account to a domain administrator account. An attacker that successfully exploited this vulnerability could impersonate any user on the domain, including domain administrators, and join any group. By impersonating the domain administrator, the attacker could install programs; view, change or delete data; or create new accounts on any domain-joined system.
Aanvulling: credits voor het vinden van dit lek gaan naar "The Qualcomm Information Security & Risk Management team, with special recognition for Tom Maddock" (bron: https://technet.microsoft.com/library/security/dn820091.aspx). Ik ken Qualcomm niet als een bedrijf dat snel na de beschikbaarheid van patches, PoCs of exploits publiceert, maar je weet maar nooit.
http://blogs.technet.com/b/srd/archive/2014/11/18/additional-information-about-cve-2014-6324.aspx
Uit https://isc.sans.edu/diary/Microsoft+November+out-of-cycle+patch+MS14-068/18967:
In de comments in https://isc.sans.edu/forums/diary/Microsoft+November+out-of-cycle+patch+MS14-068/18967 zie ik dat meerdere mensen problemen rapporteren met de patches op Server 2003. Nog even uitkijken dus!
Na het drukken van F5 krijg ik wel content (nog steeds mixed, https+http) te zien in https://support.microsoft.com/kb/3011780. In die pagina is nog niets te vinden over potentiële risico's/problemen m.b.t. deze patch. Ik zie ook nergens waarom deze patch een week werd uitgesteld.
Duidelijk is dat de reorganisatie van Microsoft, waaronder het opheffen van de "Trustworthy Computing Group" (zie https://www.security.nl/posting/402729/Microsoft+heft+Trustworthy+Computing+Group+op) het patchproces er niet betrouwbaarder op gemaakt heeft.
Ook vanuit interne Microsoft gelederen klinkt kritiek hierop van o.a. Dustin Childs. Dat is geen onbekende, voer zijn naam maar eens in in het zoekveld op security.nl (of Google naar: site:security.nl dustin childs voor nog meer hits). O.a. in https://twitter.com/dustin_childs/status/532241691630002176 is de kritiek op zijn werkgever niet mals (Dustin werkt er nog wel, maar op een andere plek):
Ook interessant, momenteel te zien als 2 tweets in https://twitter.com/dustin_childs:
Ik heb er nu niet specifiek op gelet maar ik heb al wel heel vaak geconstateerd dat als Microsoft pagina's traag laden in
Firefox of Seamonkey, dezelfde pagina's gewoon snel laden in Internet Explorer.
Dat dateert al van veel langer terug dan september. Ik kijk rond patchdinsdag altijd in dat overzicht van uitgegeven
patches, en daar is dit fenomeen heel sterk zichtbaar. Ik heb ook wel eens gedacht dat de boel gewoon down of overbelast
was tot ik per ongeluk een keer met IE keek.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.