Tijdens de eerste patchdinsdag van 2015 heeft Microsoft acht beveiligingsupdates uitgebracht voor evenveel lekken in Windows, waaronder een kritiek lek in de Windows Telnet Service waardoor een aanvaller via het versturen van een speciaal pakketje kwetsbare machines kan overnemen. Het lek in Telnet is de enige kritieke kwetsbaarheid die Microsoft deze maand verhelpt. De overige problemen in Windows zijn minder ernstig van aard en maken het mogelijk om een denial of service te veroorzaken, de rechten van een gebruiker te verhogen of bepaalde beveiligingsmaatregelen te omzeilen.

Hoe groot het aantal systemen dat kwetsbaar voor het Telnet-lek is, is onduidelijk. Telnet is standaard geïnstalleerd op Windows Server 2003, maar staat niet standaard ingeschakeld. Bij Windows Vista en nieuwer is Telnet niet standaard geïnstalleerd en lopen alleen gebruikers risico die de dienst zelf hebben geïnstalleerd. De kwetsbaarheid zou direct aan Microsoft zijn gerapporteerd en wordt veroorzaakt door de manier waarop Telnet met gebruikersinvoer omgaat. Een aanvaller kan door het versturen van speciaal geprepareerde Telnet-pakketten willekeurige code op het systeem uitvoeren.

Overige kwetsbaarheden

Microsoft heeft ook een kwetsbaarheid verholpen die door Google was ontdekt. De zoekgigant had tot onvrede van Microsoft details over dit lek op 11 januari al bekendgemaakt, omdat er niet binnen de deadline van 90 dagen een update was verschenen, tot grote ergernis van Microsoft. Een ander probleem dat deze maand opvalt is een lek in Windows Error Reporting. Een kwetsbaarheid in dit Windowsonderdeel, dat fouten aan Microsoft rapporteert, zorgt ervoor dat een aanvaller die al toegang tot het systeem heeft zijn rechten kan verhogen.

Naast de acht bulletins werd ook een beveiligingsupdate voor Internet Explorer uit december opnieuw uitgebracht. Alle updates zijn via Windows Update te downloaden. Verder zijn de details en overzichten van getroffen software en systemen, zoals altijd, op de Security Bulletin-pagina van Microsoft te vinden. Vorige week liet Microsoft weten dat het niet meer van tevoren zal aankondigen welke updates het op patchdinsdag zal uitbrengen. Sommige media hadden dit bericht verkeerd begrepen en dachten dat Microsoft helemaal geen informatie meer over patches zou geven.