Microsoft patcht 15 lekken

De patches in de ronde van november zijn verdeeld over 6 Security Bulletins. Deze updates moeten afrekenen met 3 ‘kritieke’ en 12 ‘belangrijke' kwetsbaarheden. Opvallend is dat Windows 7 door geen van de 15 lekken wordt geraakt, maar mogelijk is dat wel het geval met de bètaversie en Release Candidate van Windows 7. Datzelfde geldt voor Windows Server 2008 R2.

Redactie AG ConnectMeer van deze auteur

Tech & Toekomst — Shutterstock

Shutterstock

Beveiligingsexperts zijn het erover eens dat het lek in de Windows-kernel (bulletin MS09-065) het ernstigst is en als eerste moet worden aangepakt door IT-beheerders en individuele thuisgebruikers. Kwaadwillenden kunnen gebruikmaken van Internet Explorer om de kwetsbare plek in de Win32k mode driver aan te vallen. Alleen al het bekijken van een besmette website is genoeg om de malware in huis te halen. De aanvalscode kan behalve op websites ook in MS Office-bestanden worden verstopt. Alle versies van Windows tot en met Windows XP gaan gebukt onder dit probleem.

Volgens Microsoft is het lek terug te voeren op de manier waarop de Windows-kernel omgaat met Embedded OpenType-fonts. EOT-fonts zijn speciale, compacte lettertypes voor gebruik op webpagina’s die echter ook kunnen worden gebruikt in Word- en PowerPoint-bestanden. Hierdoor bestaat het gevaar dat hackers zulke bestanden als bijlage meesturen met e-mails in de hoop dat de ontvangers ze zullen openen. Is de doel-pc eenmaal besmet dan kan de aanvaller naar believen programmacode op afstand uitvoeren.

Een tweede ‘kritiek’ lek zit in de applicatieprogramma-interface van Web Services on Devices (WSDAPI). De kwetsbaarheid maakt uitvoering van code op afstand mogelijk. Aanvallers moeten wel tot het lokale subnetwerk zijn doorgedrongen om misbruik te kunnen maken van dit lek. De derde kritieke kwetsbaarheid bevindt zich in de License Logging Server, een tool om Client Access-licenties (CAL’s) te beheren in Windows 2000 Server.

Een ‘belangrijk’ probleem, dat aanleiding kan geven tot een ‘denial of service-aanval' schuilt in Active Directory. Alleen domain controllers en systemen die zijn geconfigureerd voor Active Directory Application Mode (ADAM) en Active Directory Lightweight Directory Service (ADLDS) zijn hiermee behept.

Microsoft pakt in twee andere bulletins nog 8 andere ‘belangrijke’ zwakke plekken in het spreadsheetpakket Excel en een lek in de tekstverwerker Word aan. De problemen beperken zich hier tot oudere bestandsformaten van Office. De latere XML-bestandsindelingen van Office 2007 voor Windows en Office 2008 voor de Mac blijven ervan verschoond.

Een samenvatting van alle lekken in de patchronde van november staat op de website van Microsoft.