Microsoft heeft de belofte van een pittige patchdinsdag waargemaakt, want vanavond zijn er 13 beveiligingsupdates verschenen die maar liefst 47 lekken verhelpen. De kwetsbaarheden bevinden zich in Windows, Internet Explorer, Office en SharePoint.
De drie Security Bulletins met de hoogste prioriteit zijn MS13-067, MS13-068 en MS13-069. MS13-067 verhelpt in totaal 10 beveiligingslekken in SharePoint Server, waarvan er één al openbaar was voordat Microsoft een patch gereed had. Het gaat hier om een cross-site scripting-aanval waardoor het mogelijk was om scripts in de context van de ingelogde gebruiker uit te voeren.
Microsoft zou echter niet hebben gezien dat dit lek actief werd aangevallen. Eén van de negen lekken maakt het wel mogelijk voor een aanvaller, als die speciale content naar een kwetsbare server stuurt, om willekeurige code op het systeem uit te voeren. Dit probleem werd veroorzaakt doordat Microsoft de invoer niet goed controleerde en is nu opgelost.
Outlook
Een ander lek dat voorspeld was is het preview-lek in Outlook. Door alleen een e-mail via de voorbeeldweergave te bekijken, zonder het bericht expliciet te openen, kan een aanvaller de computer overnemen. Volgens de softwaregigant is het probleem echter lastig te misbruiken en Microsoft acht het dan ook onwaarschijnlijk dat hackers binnen 30 dagen een exploit voor het probleem gereed zullen hebben.
Internet Explorer
MS13-069 is het laatste Security Bulletin dat meteen moet worden geïnstalleerd. De update verhelpt 10 direct aan Microsoft gerapporteerde kwetsbaarheden in Internet Explorer 6 tot en met 10. Het bekijken van een kwaadaardige webpagina is voldoende om een aanvaller willekeurige code op het systeem te laten uitvoeren.
Overige updates
Security Bulletin MS13-070, voor alleen Windows XP, is ook als kritiek beoordeeld wegens de mogelijkheid om willekeurige code op afstand uit te voeren. Hiervoor moet een gebruiker eerst een bestand openen dat een speciaal geprepareerd OLE-object bevat. Het is echter mogelijk om de OLE-objecten aan allerlei verschillende typen bijlagen toe te voegen. Ondanks het feit dat de gebruiker een handeling moet verrichten kreeg de update toch de stempel kritiek.
Ook de lekken in Microsoft Office maken namelijk het uitvoeren van code mogelijk en ook hiervoor moet de gebruiker een bestand openen. In dit geval zijn de updates voor Office en Excel als "Belangrijk" beoordeeld. Deze rating werd ook aan de overige Windows-updates gegeven, alleen maken die het voor een aanvaller mogelijk om zijn rechten op het systeem te verhogen in plaats van het uitvoeren van code. De updates zijn via Windows Update of de Automatische Update functie te downloaden.
Bron: Security.nl
De drie Security Bulletins met de hoogste prioriteit zijn MS13-067, MS13-068 en MS13-069. MS13-067 verhelpt in totaal 10 beveiligingslekken in SharePoint Server, waarvan er één al openbaar was voordat Microsoft een patch gereed had. Het gaat hier om een cross-site scripting-aanval waardoor het mogelijk was om scripts in de context van de ingelogde gebruiker uit te voeren.
Microsoft zou echter niet hebben gezien dat dit lek actief werd aangevallen. Eén van de negen lekken maakt het wel mogelijk voor een aanvaller, als die speciale content naar een kwetsbare server stuurt, om willekeurige code op het systeem uit te voeren. Dit probleem werd veroorzaakt doordat Microsoft de invoer niet goed controleerde en is nu opgelost.
Outlook
Een ander lek dat voorspeld was is het preview-lek in Outlook. Door alleen een e-mail via de voorbeeldweergave te bekijken, zonder het bericht expliciet te openen, kan een aanvaller de computer overnemen. Volgens de softwaregigant is het probleem echter lastig te misbruiken en Microsoft acht het dan ook onwaarschijnlijk dat hackers binnen 30 dagen een exploit voor het probleem gereed zullen hebben.
Internet Explorer
MS13-069 is het laatste Security Bulletin dat meteen moet worden geïnstalleerd. De update verhelpt 10 direct aan Microsoft gerapporteerde kwetsbaarheden in Internet Explorer 6 tot en met 10. Het bekijken van een kwaadaardige webpagina is voldoende om een aanvaller willekeurige code op het systeem te laten uitvoeren.
Overige updates
Security Bulletin MS13-070, voor alleen Windows XP, is ook als kritiek beoordeeld wegens de mogelijkheid om willekeurige code op afstand uit te voeren. Hiervoor moet een gebruiker eerst een bestand openen dat een speciaal geprepareerd OLE-object bevat. Het is echter mogelijk om de OLE-objecten aan allerlei verschillende typen bijlagen toe te voegen. Ondanks het feit dat de gebruiker een handeling moet verrichten kreeg de update toch de stempel kritiek.
Ook de lekken in Microsoft Office maken namelijk het uitvoeren van code mogelijk en ook hiervoor moet de gebruiker een bestand openen. In dit geval zijn de updates voor Office en Excel als "Belangrijk" beoordeeld. Deze rating werd ook aan de overige Windows-updates gegeven, alleen maken die het voor een aanvaller mogelijk om zijn rechten op het systeem te verhogen in plaats van het uitvoeren van code. De updates zijn via Windows Update of de Automatische Update functie te downloaden.
Bron: Security.nl
