Video: 10% DMG Boost in Raids [Broken World Buff] [Bug Report] (November 2024)
Gisteren heeft Microsoft 13 beveiligingsbulletins uitgegeven met ongeveer 47 bugs in een ietwat grotere dan gebruikelijke Patch-dinsdag. Hiervan werden er vier als kritisch genoemd en de rest als belangrijk. Maak je klaar om te updaten!
Interessant is dat een veertiende update met betrekking tot een denial-of-service-probleem in.NET vorige week werd aangekondigd, maar is achtergehouden voor verdere tests. Misschien wil Microsoft wat verwarring voorkomen van de patch van vorige maand dinsdag, waarbij na de release een update moest worden verwijderd.
Internet Explorer en Social Engineering
Microsoft loste tien kwetsbaarheden op met een cumulatieve update voor Internet Explorer, die van invloed was op versie zes tot en met 10. Dit betekent dat zowat iedereen zal worden geraakt door deze wijzigingen, wat het beste is omdat sommige van deze bugs externe code-uitvoering toestonden.
"Door de ernstigste kwetsbaarheden kan externe code worden uitgevoerd als een gebruiker een speciaal vervaardigde webpagina bekijkt met Internet Explorer", schreef Microsoft. "Een aanvaller die met succes de meest ernstige van deze kwetsbaarheden misbruikt, kan dezelfde gebruikersrechten krijgen als de huidige gebruiker." Dit is nog een goed argument om nooit een account met beheerdersrechten te gebruiken voor het dagelijkse werk.
Microsoft Word en Excel zien updates die een kwetsbaarheid voor een bestandsindeling aanpakken, waarbij een speciaal vervaardigd Office-bestand kan worden gebruikt om code op de computer van het slachtoffer uit te voeren. "Microsoft beoordeelt deze kwetsbaarheden alleen als 'belangrijk' omdat ze vereisen dat het doelwit meewerkt", schrijft Cualy's CTO Wolfgang Kandek. "Aanvallers hebben echter keer op keer bewezen dat ze over de nodige social engineering-technieken beschikken om dat obstakel gemakkelijk te overwinnen."
In feite hebben de rapporten die we hebben gezien social engineering tot de top van de grootste bedreigingen tegen gebruikers gebracht, net als bedorven bestanden, zoals bestanden die worden geadresseerd met deze Office-updates. Deze bestanden zijn ongelooflijk gevaarlijk omdat ze er legitiem uitzien en we hebben gezien hoe ze met veel effect zijn gebruikt in geavanceerde aanhoudende bedreigingsaanvallen.
Outlook en anderen
De populaire 2007- en 2010-versies van Microsoft Outlook zijn deze maand ook gepatcht, waardoor een bijzonder nare kwetsbaarheid is opgelost. "Een aanvaller kan het algoritme voor het parseren van certificaten gebruiken door een e-mail te ondertekenen en meer dan 256 certificaten in de handtekening te nestelen", legt Kandek uit. "De aanval veroorzaakt een bufferoverloop, zelfs als deze alleen wordt weergegeven in het voorbeeldvenster van Outlook."
Hoewel Microsoft zegt dat de Outlook-aanval moeilijk uit te voeren is, is het gevaarlijk omdat het slachtoffer niets hoeft te doen om de aanval te laten slagen.
Daarnaast bracht Microsoft kritische patches uit voor Sharepoint 2003, 2007, 2010 en 2013, evenals Microsoft Visio. De patches waren belangrijk voor OLE, Windows-themabestanden, Microsoft Access, Office IME Chinese, Kernal-Mode-stuurprogramma's, Windows Service Control Manager, FrontPage en Active Directory.
Afbeelding via Flickr-gebruiker Dan Dickinson
