Microsoft patcht kritieke lekken in Windows 8 en IE10

Net als in november ziet Microsoft zich genoodzaakt zwakke plekken in zijn webbrowser dicht te timmeren. De hiervoor bestemde update patcht in één moeite door 4 gaten in de beveiliging. Het merendeel (3) zit in versie 9 van Internet Explorer, maar ook de meest recente versie (IE10) ontspringt de dans niet. Dezelfde update verstevigt ook de beveiliging van de oudere versies IE6, IE7 en IE8, maar die generaties zijn kennelijk niet vatbaar voor de malware die de kwetsbaarheid in de latere versies kan exploiteren.

Adobe brengt update uit voor Flash Player in IE10

Ook Adobe heeft dinsdag een update verspreid, die een oplossing moet bieden voor 3 kritieke bugs in de Flash Player voor IE10. Adobe gebruikt sinds kort hetzelfde tijdschema als Microsoft voor updates die de beveiliging van Flash Player raken.

Bij de overige Microsoft-updates van deze maand zit een patch voor de tekstverwerker Word die vooral voor zakelijke gebruikers relevant is. De kwetsbaarheid zit in de manier waarop Word bestanden met de RT-indeling interpreteert. Ook de 2007- en 2010-versie van de mailclient Outlook worden indirect door deze bug getroffen. Boosdoeners kunnen dit lek exploiteren door een speciaal geconstrueerd RTF-document aan Outlook-gebruikers te mailen. Het openen dan de bijlage kan leiden tot besmetting van de pc met malware.

Lettertypes op malafide sites openen deur voor 'remote execution'

Een andere update, voor de interpretatie van lettertypes, bestaat uit 2 kritieke patches voor de gloednieuwe Windows-versies 8 en RT. Het probleem zit in de zogeheten kernel-mode drivers van het besturingssysteem. Als een nietsvermoedende gebruiker een document met geïnfecteerde TrueType- of OpenFont-lettertypes opent of een website met zulke fonts bekijkt, kan op zijn pc van buitenaf willekeurige programmacode worden uitgevoerd.

Gebruikers van Windows 8 krijgen ook nog een ‘belangrijke’ correctie voorgeschoteld voor de DirectPlay-functie. Misbruik kan leiden tot uitvoering van programmacode op afstand als een aanvaller de Windows-gebruiker zo gek krijgt om een Office-document met ingebedde malware te bekijken.

Meer lekken in Exchange en DirectAccess

Microsoft herstelt met de patches van december ook kwetsbare plekken in de mailserver Exchange en in het beveiligingsprotocol IP-HTTPS, dat wordt gebruikt in de DirectAccess-functie van Windows 7 en Windows 8. DirectAccess is een simpeler te implementeren alternatief voor VPN om veilige verbindingen met een bedrijfsnetwerk op te zetten.

Veel van de patches van deze maand maken een herstart van de pc noodzakelijk, wat de normale werkzaamheden extra kan verstoren. Details over alle security bulletins van deze maand staan in een overzicht op Microsoft TechNet.