Microsoft dicht XML-lek in patchronde

Allereerst is er een patch beschikbaar gesteld voor het lek in XML Core Services dat al zeker een maand geleden bekend werd. Het lek wordt al enige tijd actief misbruikt in zeer gerichte aanvallen en exploit code ervoor is al zeker een week vrij verkrijgbaar. Voor versie 5.0 van XMLCS is echter nog geen patch beschikbaar. Volgens Microsoft wordt voornamelijk het lek in versie 3.0 van XMLCS misbruikt.

Extra patch voor IE

Ook kritiek zijn de patches voor Internet Explorer 9. Microsoft breekt in deze patchronde overigens met zijn gewoonte om de maand patches uit te brengen voor IE. Aangezien browsers hevig onder vuur liggen van hackers, is een maandelijkse update geen overbodige luxe, zo stellen beveiligers. Of hiervan werkelijk sprake zal zijn, is niet zeker. Wellicht had Microsoft gewoon deze patch klaar en heeft het bedrijf hem zo snel mogelijk willen uitbrengen.

Beveiliger SANS wijst erop dat de patch voor het lek in VBA zo snel mogelijk doorgevoerd moet worden. Bovendien moeten beheerders erop letten dat er nog kwetsbare VBE6.dll-bestanden kunnen bestaan op gepatchte systemen omdat Microsoft niet alle kwetsbare dll’s patcht die door derden zijn geïnstalleerd.

Kritiek zijn tevens de patches voor Microsoft Data Access Components (MDAC), waarmee Windows toegang heeft tot databases. Daarnaast zijn er patches voor SharePoint, Office for Mac 2011 en de Windows shell.