Het is die tijd van de maand waarin Microsoft zijn Patch Tuesday uitbracht, gericht op het oplossen van kwetsbaarheden. Laatste maanden Patch dinsdag stelde een aantal problemen voor gebruikers zoals: ze veroorzaakten nog steeds bugs, "halfbakken" zijn. Dit is de achtste Patch dinsdag van het jaar en het wordt geleverd met acht nieuwe beveiligingsbulletins (toeval?) waarvan er slechts drie als "kritiek" en vijf als "belangrijk" worden beoordeeld.
De acht beveiligingsbulletins uitgebracht door Microsoft adres 23 kwetsbaarheden van Windows, Internet Explorer en Exchange. De belangrijkste patches zijn, volgens de aanbeveling van Microsoft, MS13-059 (Internet Explorer) en MS13-060 (Windows XP en Server 2003.). Na het toepassen van die eerste prioriteitspatches, moet u alle andere software van Microsoft die u gebruikt patchen om ervoor te zorgen dat u een eersteklas beveiliging hebt
23 kwetsbaarheden gevonden in Patch Tuesday
Beveiligingsbulletin MS13-059 is een belangrijke beveiligingsupdate voor Internet Explorer die 11 privé gemelde kwetsbaarheden dekt. We weten niet of deze op grote schaal zijn gebruikt of dat ze zwaar zijn uitgebuit door hackers.
De ernstigste kwetsbaarheden kunnen leiden tot uitvoering van externe code als een gebruiker een speciaal vervaardigde webpagina bekijkt met Internet Explorer. Een aanvaller die met succes misbruik maakt van de ernstigste van deze kwetsbaarheden, kan dezelfde gebruikersrechten krijgen als de huidige gebruiker.
Beveiligingsbulletin MS13-060 herstelt een kwetsbaarheid in de Unicode Script Processor van Microsoft Exchange Server, waardoor hackers lettertypen kunnen weergeven als aanvalsvector. Qualys CTO Wolfgang Kandek legt uit:
De lettertypen worden op kernelniveau getekend, dus als je op de een of andere manier de tekening van de lettertypen kunt beïnvloeden en overlopen. Dit zou een aanvaller controle geven over de computer van het slachtoffer.
Amol Sarwate, directeur van Qualys Vulnerability Labs:
Het is een zeer aanlokkelijke aanvalsvector. Het enige wat een aanvaller hoeft te doen, is een slachtoffer naar een document, e-mail of kwaadaardige webpagina leiden om het beveiligingslek te misbruiken.
Naast het bovenstaande zijn hier enkele andere hoogtepunten en "goodies" van de Patch Tuesday van deze maand en de beschrijving van de rest van de beveiligingsbulletins:
- MS13-061 – kwetsbaarheid Oracle bibliotheken “Outside In”
- MS13-062 – kwetsbaarheid die van invloed is op de RPC-afhandelingscode in alle Windows-versies
- MS13-063 – bypass van ASLR (Address Space Layout Randomization) en 3 kwetsbaarheden voor kernelcorruptie om misbruik van bevoegdheden mogelijk te maken
- MS13-064 – enkele denial of service-kwetsbaarheid in het Windows Server 2012 NAT-stuurprogramma
- MS13-065 – enkele denial of service-kwetsbaarheid in de IPv6-stack in alle versies van Windows behalve XP en Server 2003
- MS13-066 – kwetsbaarheid voor het vrijgeven van informatie in de Active Directory Federation Services (AD FS) in alle Intel-gebaseerde versies van Windows Server anders dan Server Core.
Daarnaast heeft Microsoft ook Windows 8 en RT bijgewerkt 'om de beveiligingsfunctionaliteit in Windows Defender te verbeteren'.
