image

Google vindt Windows-lekken die uit vorige eeuw stammen

maandag 10 april 2017, 16:50 door Redactie, 7 reacties

Google heeft afgelopen maand een belangrijk aandeel gehad in de beveiligingslekken die Microsoft heeft gepatcht. Tijdens de patchdinsdag van maart verhielp de softwaregigant 119 kwetsbaarheden, waarvan er 29 door Google waren gevonden en gerapporteerd. Het gaat om problemen die al sinds de vorige eeuw in de Windowscode aanwezig zijn, zo laat de internetgigant in een analyse weten.

De beveiligingslekken waren aanwezig in een softwarebibliotheek en deden zich voor bij het verwerken van fonts. Google is al geruime tijd bezig om kwetsbaarheden in Windows via gemanipuleerde fontbestanden te vinden. In dit geval werd er zelfs een geheel nieuwe aanvalsvector ontdekt om Windows via dergelijke bestanden aan te vallen. Verder onderzoek wees uit dat de kwetsbare code al sinds Windows 2000 aanwezig is.

"Het is een fascinerende maar beangstigende realisatie dat zelfs bij zo'n bekend probleem als het verwerken van fonts, het nog steeds mogelijk is om nieuwe aanvalsvectoren te vinden die van de vorige eeuw dateren en grotendeels door audits zijn overgeslagen", zegt Mateusz Jurczyk van Google Project Zero, het speciale team van Google dat uit allerlei zeer ervaren hackers bestaat en veelgebruikte software op kwetsbaarheden onderzoekt.

Volgens Jurczyk laten de resultaten zien dat de tijd die wordt geïnvesteerd in het grondig analyseren van het aanvalsoppervlak en het zoeken naar onbekende doelwitten veel kan opleveren, aangezien de securitygemeenschap nog altijd geen volledig begrip heeft van de aanvalsvectoren in belangrijke stacks, zoals het verwerken van Windows-fonts, aldus de onderzoeker.

Reacties (7)
10-04-2017, 18:54 door Anoniem
Vorige week: https://www.security.nl/posting/510066/Google+dicht+recordaantal+van+109+lekken+in+Android

Door Anoniem: Google TOF: Tavis Ormandy Failure...

Of wel: we zien binnen 2 dagen weer een post van Tavis over een ander product waar hij gaten in vond, wat door Google uitgebreid "gepromoot" wordt, zodat wederom de aandacht van gaten in Google's eigen producten wordt afgeleid.

Ze moeten Tavis gewoon naar hun eigen producten laten kijken...

En zie...Tada!
10-04-2017, 22:55 door [Account Verwijderd]
[Verwijderd]
10-04-2017, 23:49 door Anoniem

22:55 door Rinjani:

De boodschap hier is niet dat er lekken in software zitten (dat is bekend).

Het essentiële verschil is dat Google haar lekken dicht en dat Microsoft ze open laat staan.

Microsoft patch wel zeker de lekken, alleen ze zijn er niet actief naar opzoek, Google wel, ook in hun eigen software.
11-04-2017, 07:52 door karma4 - Bijgewerkt: 11-04-2017, 07:53
Door Rinjani: ....

De boodschap hier is niet dat er lekken in software zitten (dat is bekend).

Het essentiële verschil is dat Google haar lekken dicht en dat Microsoft ze open laat staan.
Redeneren blijft lastig Rinjani.
Je kunt onderzoekstijd maar 1 keer besteden Besteed je de tijd aan het zoeken van fouten bij een ander dan kan je die tijd niet meer besteden aan het zoeken van de eigen fouten.
Wijzen naar een ander is ook veel makkelijker je hoef na de constatering niet het moeizame proces van verbetering in.

Google brengt patches aan. Ja een aantal maar hoeveel zijn dat er op het totaal aantal dat er echt is?
Microsoft brengt ook patches aan eveneens geen idee wat het werkelijk aantal is. Ze worden ook gewoon gedicht.
Bij Linux zijn er ook constant Patches somigen van tientallen jaren. Er wordt ook gewoon aan gewerkt, tenminste dat hoop ik want testen is vrijblijvend en wordt door de gebruiker geacht te gebeuren.
11-04-2017, 09:51 door Anoniem
Microsoft is ook wel op zoek maar waarschijnlijk voornamelijk in nieuwe code. Fuzzing (wat ook de voornaamste methode was om deze font bugs te ontdekken) is onderdeel van MS zijn SDLC.
11-04-2017, 12:42 door [Account Verwijderd] - Bijgewerkt: 11-04-2017, 19:45
[Verwijderd]
12-04-2017, 23:23 door Anoniem
Volgens mij moet Microsoft gewoon een bak met geld neer tellen en windows beter te beveiligen en defender ook meteen aan pakken zodat Windows in zijn geheel beter word.

En sloop internet Explorer er uit volgens mij zou dat al veel fouten doen voorkomen en veel zwak heden uit Windows halen.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.