Microsoft lost meerdere kritieke Windows-problemen op
Microsoft heeft zijn maandelijkse Patch Tuesday-updates vrijgegeven. Waar het vorige maand de lichtste update in meer dan twee jaar was, zijn het er dit keer weer zeven: zes voor Windows, één voor Microsoft Forefront Protection 2010 voor Exchange Server. Drie van de updates krijgen het label kritiek, de andere zijn belangrijk.
Van de in totaal 32 veiligheidsproblemen die in de updates getackled worden, zitten er 24 in de gebundelde update voor Internet Explorer. Vier van die kwetsbaarheden circuleerden volgens Microsoft al een tijdje publiek, en van twee daarvan had het bedrijf weet van doelgerichte aanvallen die er gebruik van probeerden te maken. Microsoft bedankt ook de dertien onderzoekers die deze problemen aan hen hebben doorgegeven.
[related_article id=”161452″]
Een kort overzicht van de zeven updates:
* MS14-005 lost een niet-kritiek probleem op dat al eerder publiek gemaakt werd: wanneer een gebruiker content bekijkt in Internet Explorer die gebouwd was om de XML Core Services te activeren, kunnen bestanden of andere data op zijn systeem toegankelijk worden. Vreemd genoeg laat Microsoft zowel weten dat het onwaarschijnlijk is dat er werkelijk misbruik gemaakt kan worden van dit probleem, als dat het op de hoogte is van aanvallen in het wild die dit juist wel probeerden.
* MS14-006 beschrijft een kwetsbaarheid die IPv6 dienst kan doen weigeren en die kan voorkomen bij Windows 8, Windows RT, en Windows Server 2012.
* MS14-007 beschrijft een memory corruption-kwetsbaarheid en wordt door Microsoft bestempeld als kritiek. De fout kan een aanvaller toestaan om van op afstand code uit te voeren wanneer de gebruiker specifiek daarvoor ontworpen content bekijkt in Internet Explorer in Windows 7, Windows 8, Windows RT, Windows 8.1, Windows RT 8.1, Windows Server 2012 of Windows Server 2012 RT.
* MS14-008 beschrijft een kwetsbaarheid in Forefront Protection for Exchange, die een aanvaller de kans geeft om via een configured service account op afstand code uit te voeren.
* MS14-009 bevat drie .NET kwetsbaarheden waarvan er al twee publiek bekend waren. De ernstigste gevallen kunnen de rechten van een gebruiker op een systeem verhogen als die bepaalde webcontent bekijkt.
* MS14-010 is de gebundelde update voor Internet Explorer, die 24 individuele kwetsbaarheden oplost, waarvan er al één publiek bekend was. 23 ervan zijn memory corruption-kwetsbaarheden en de laatste is een cross-domain informatieverspreidingskwetsbaarheid.
* MS14-011 beschrijft een zwakte in de VBScript Scripting Engine die kan toestaan dat van op afstand een code uitgevoerd wordt in het systeem als de gebruiker een malafide website bezoekt.
