Microsoft pakt lekken in Office en IE aan

De patch voor Microsoft Office (opgenomen in security bulletin 5) is gericht op de Windows-versie uit 2003, waarvan de ondersteuning binnen een jaar zal stoppen. Maar ook de jongste editie voor OS X van Apple, Office for Mac 2011, blijkt kwetsbaar te zijn. Het is niet duidelijk wat beide producten die in tijd zo ver uit elkaar liggen met elkaar gemeen hebben waardoor ze kwetsbaar zijn.

De Amerikaanse beveiligingsexpert Paul Henry vertelde Computerworld dat de kwetsbaarheid in Office weliswaar niet algemeen bekend is, maar "in zekere mate actief wordt geëxploiteerd". Er zijn volgens hem beperkte aanvallen in het wild gesignaleerd. De daders verspreiden de exploits door mailtjes met kwaadaardige bestanden aan hun beoogde slachtoffers te sturen, aldus Henry.

Kritieke update voor Internet Explorer verdient prioriteit

Naast de Office-patch lijkt een kritieke update voor Internet Explorer deze maand prioriteit te verdienen van IT-beheerders. Het lek in kwestie kan ertoe leiden dat kwaadwillenden op afstand programmacode kunnen uitvoeren op de pc van het slachtoffer (remote execution). Zoals bij de meeste IE-lekken is het uitvoeren van een 'drive-by aanval' - de gebruiker hoeft alleen maar een malafide website te bezoeken om met een geïnfecteerde pc opgescheept te raken - het meest waarschijnlijke scenario. Het advies is dan ook om in elk geval deze update direct na binnenkomst toe te passen.

De update treft alle versies van IE die Microsoft nog ondersteunt, van IE6 uit 2001 tot aan de meest recente versie IE10. Het betreffende security bulletin 1 voor Windows en Internet Explorer patcht in één klap 19 kwetsbaarheden.

Andere 3 updates zijn 'belangrijk'

De overige 3 beveiligingsupdates van deze maand (security bulletins 2, 3 en 4) ziet Microsoft als 'belangrijk'. Daarvan laten er 2 Windows XP ongemoeid. Ze zijn juist gericht op zwakke plekken in latere versies van Microsofts besturingssysteem: Vista, Windows 7, Windows 8 en Windows RT. Ook diverse releases van Windows Server (2003, 2008 en 2012) zijn kwetsbaar.

Zoals gewoonlijk onthult Microsoft weinig details over de komende beveiligingsupdates, die dinsdag 11 juni rond 19 uur Nederlandse tijd beschikbaar komen. In de vooraankondiging wordt slechts een tipje van de sluier opgelicht.