Video: IE Zero Day Emergency Patch, Windows Sandbox, New ThinScale Product & More | Dec 20th 2018 (November 2024)
Microsoft heeft een update voor Internet Explorer uitgerold om de zero-day kwetsbaarheid te dichten die recentelijk al in verschillende gerichte aanvallen was gebruikt.
De out-of-band-update van Microsoft lost het kritieke gebrek in Internet Explorer versies 6, 7 en 8 op, zei het bedrijf vandaag in zijn beveiligingsadvies. Het bedrijf had eerder een Fix-It uitgebracht als tijdelijke oplossing om het probleem tijdelijk te sluiten. Gebruikers die de Fix-It hebben geïnstalleerd, hoeven deze niet te verwijderen voordat de patch wordt toegepast, aldus Microsoft.
"De meeste klanten hebben automatische updates ingeschakeld en hoeven geen actie te ondernemen, omdat beveiligingen automatisch worden gedownload en geïnstalleerd", aldus Microsoft in het advies. Gebruikers die IE handmatig bijwerken, worden sterk aangeraden om de update zo snel mogelijk toe te passen.
Het is belangrijk op te merken dat Microsoft een patch heeft uitgebracht en geen cumulatieve update, aldus Wolfgang Kandek, CTO van Qualys. Gebruikers moeten ervoor zorgen dat hun versie van Internet Explorer up-to-date is (en MS12-077) is geïnstalleerd voordat de patch (MS13-008) wordt toegepast, zei Kandek.
Out of Band Patch
Deze patch komt een week na de geplande maandelijkse patch dinsdag release van Microsoft. Veel beveiligingsexperts hadden zich afgevraagd of dat betekende dat het bedrijf van plan was te wachten tot februari om de bug op te lossen.
"Ik zou helemaal niet verbaasd zijn om naast de patch van vandaag nog een IE-bulletin te zien in februari", aldus Andrew Storms, directeur beveiligingsactiviteiten bij nCircle. Regelmatige browserpatches zijn een goede zaak omdat aanvallers steeds vaker webbrowsers aanvallen, zei Storms.
Onderzoekers van FireEye ontdekten in december dat de website van Council on Foreign Relations was aangetast en bezoekers met oudere versies van Internet Explorer infecteerde door misbruik te maken van dit beveiligingslek. Nadat de zero-day-fout was vastgesteld, ontdekten andere onderzoekers vergelijkbare aanvallen op andere sites, waaronder de fabrikant Capstone Turbine van microturbinesystemen en twee Chinese sites voor mensenrechten. Microsoft heeft een tijdelijke oplossing uitgebracht, maar onderzoekers van Exodus Intelligence konden de Fix-It omzeilen en het beveiligingslek activeren.
Hoewel het bedrijf vrij snel werkte om deze patch uit te brengen, is er nog steeds een "grote kans" dat veel gebruikers de nodige stappen niet hebben genomen, en een groot deel van IE-gebruikers blijft onbeschermd, Mark Elliott, vice-president van producten bij Quarri Technologies, vertelde SecurityWatch . Dit onderstreept hoe vaak bedrijven 'overgeleverd zijn aan hoe bekwame eindgebruikers een beveiligingsbeheerder zijn', zei Elliott.
Gebruikers worden ook aangemoedigd om te upgraden naar Internet Explorer 9 of 10. Het probleem treft vooral gebruikers die nog steeds Windows XP gebruiken, die de nieuwere versies van IE niet kunnen uitvoeren.
"Aangezien deze patches kwetsbaarheden aanpakken die in het wild worden misbruikt, is het van cruciaal belang dat de patches zo snel mogelijk worden geïmplementeerd, " vertelde Marc Maiffret, CTO van BeyondTrust, aan SecurityWatch .
Volg haar op Twitter @zdFYRashid voor meer informatie over Fahmida.
