Microsoft dicht actief aangevallen lek in Internet Explorer
Microsoft heeft tijdens de patchdinsdag van november een ernstig beveiligingslek in Internet Explorer gedicht dat actief werd aangevallen voordat de beveiligingsupdate beschikbaar was. Alleen het bezoeken van een malafide of gecompromitteerde website was voldoende om aanvallers volledige controle over het systeem te geven. Er was geen verdere interactie van gebruikers vereist.
Microsoft bedankt twee onderzoekers van Google, een anonieme beveiligingsonderzoeker die de kwetsbaarheid via een beloningsprogramma meldde en securitybedrijf Resecurity voor het rapporteren van het zerodaylek. Volgens Resecurity is de kwetsbaarheid door "statelijke actoren" bij gerichte aanvallen ingezet. In totaal patchte Microsoft gisterenavond 74 kwetsbaarheden waarvan er inclusief het aangevallen IE-lek 13 als ernstig zijn bestempeld.
Deze beveiligingslekken bevinden zich onder andere in Microsoft Exchange, Edge, Hyper-V, de Windows font library en Windows Media Foundation. Om het Exchange-lek te misbruiken moet een aanvaller een gebruik een cmdlets via PowerShell laten uitvoeren. "Hoewel dit een onwaarschijnlijk scenario lijkt, is er slechts één gebruiker nodig om de server te compromitteren", zegt Dustin Childs van het Zero Day Initiative.
De kwetsbaarheid in de font library deed zich voor bij het verwerken van speciaal geprepareerde embedded fonts. Het bezoeken van een malafide website was voldoende om aanvallers kwetsbare machines met Windows 7 en Server 2008 te laten overnemen. De 61 andere kwetsbaarheden kregen van Microsoft het label "Belangrijk" en maken het mogelijk voor een aanvaller die al toegang tot een systeem heeft om zijn rechten te verhogen, spoofing-aanvallen uit te voeren, securityfeatures te omzeilen, informatie te achterhalen en met meer interactie van gebruikers code uit te voeren.
Voor Windows, IE, Edge (EdgeHTML-based) , ChakraCore Microsoft Office en Microsoft Office Services en Web Apps, Exchange Server Visual Studio en Azure Stack zijn beveiligingsupdates verschenen. Op de meeste systemen zullen die automatisch worden geïnstalleerd.
Ik ben blij dat ik die rommel niet gebruik maar vraag me serieus af hoeveel meer van dit soort "bugs" er nog in zitten. En ik vraag me ook af of tegelijk met het fixen van de bug er ook niet meteen een bij is geplaatst, gewoon om de NSA te pleasen. EN ik vraag me ook steeds meer af wat de meerwaarde is van closed source software, en offtopic ook hardware.
Ik ben blij dat ik die rommel niet gebruik maar vraag me serieus af hoeveel meer van dit soort "bugs" er nog in zitten. En ik vraag me ook af of tegelijk met het fixen van de bug er ook niet meteen een bij is geplaatst, gewoon om de NSA te pleasen. EN ik vraag me ook steeds meer af wat de meerwaarde is van closed source software, en offtopic ook hardware.
Zowel Firefox als Chrome hebben de afgelopen maanden exact het zelfde gehad, en die zijn opensrouce. Had je toen ook het zelfde commentaar geplaatst? Want ook die fouten werden misbruikt.
Ja en nee. Het heeft natuurlijk veel te maken met de gasten die absoluut de snelste software willen hebben. En die gaan nu dus ook massaal over op Rust en ze hebben gelijk. En dan is het natuurlijk ook zo dat Rust zelf ook nog fouten bevat. En dan heb je natuurlijk ook nog fouten op standaarden. Maar eigenlijk zouden de problemen op een heel ander vlak of ander niveau moeten liggen als je het mij vraagt. Natuurlijk worden er fouten gemaakt, dat is logisch, maar als ik code zie met daarin een hele hoop TODO en andere ongein, dan loop ik weg. En zo zou het eigenlijk moeten zijn, maar het www is ondertussen zo complex en eigenlijk ook zo belangrijk dat het eigenlijk niet meer te behappen is, behalve als je Google of Apple of Microsoft heet. Ik weet wat de status is van Firefox.
Sorry dat ik jouw vraag niet direct beantwoord heb maar met een verhaal eromheen.
Ik ben blij dat ik die rommel niet gebruik maar vraag me serieus af hoeveel meer van dit soort "bugs" er nog in zitten. En ik vraag me ook af of tegelijk met het fixen van de bug er ook niet meteen een bij is geplaatst, gewoon om de NSA te pleasen. EN ik vraag me ook steeds meer af wat de meerwaarde is van closed source software, en offtopic ook hardware.
Mogelijk bij "andere rommel" die jij dan weer gebruikt spelen er soort gelijke situaties.
Hoe kan jij 100% zeker weten dat dit niet in "jouw rommel" is ingebouwd...
Nog geen eens alleen over een OS, maar eigenlijk in alle hardware/software die je gebruikt. (Inclusief tv, routers, speelgoed, media-boxen, etc etc)
Zelfs in Open Source zou dit ingebouwd kunnen zijn, echter moet maar iemand dit vinden als de code wordt bekeken, daarnaast wordt soms in Open Source software ook stukjes Closed Source gebruikt waar je niet in kan kijken.
Ik wil geen discussie starten wat wel/niet beter is, alleen aangeven dat bij geen enkel product 100% garantie is dat er "iets is ingebouwd", behalve op wat mondelingen toezeggingen van bedrijven/leveranciers waarvan de vraag is of dit klopt, tevens wanneer wel waar is voor hoelang ze dit ook kunnen volhouden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.