Windows-update van april veroorzaakt nieuw beveiligingslek
Kort na de uitrol van de Patch Tuesday-update voor Windows waarschuwde Microsoft gebruikers om de lege, nieuwe inetpub-map niet te verwijderen. Deze map werd aangemaakt als onderdeel van een beveiligingsupdate, maar veroorzaakt volgens beveiligingsonderzoeker Kevin Beaumont ironisch genoeg zelf ook een beveiligingslek.
Blokkade van Windows-updates
Volgens Beaumont kunnen aanvallers de map misbruiken om toekomstige Windows-updates te blokkeren. Opvallend is dat hiervoor geen administratorrechten nodig zijn. Aanvallers kunnen zonder moeite een symbolische link (symlink) creëren tussen de map en bijvoorbeeld de Kladblok-app. Voor het aanmaken van die symlink moeten kwaadwillenden overigens al wel toegang hebben tot het systeem, bijvoorbeeld via een grootschalige aanval op bedrijfsnetwerken.
Door de symlink worden er geen Windows-updates meer geïnstalleerd, waardoor een pc kwetsbaar blijft voor bekende beveiligingslekken, waaronder misbruikte zerodays. Voor gebruikers is dergelijk misbruik lastig te herkennen: Windows Update weigert simpelweg nog te functioneren of staakt het updateproces na verloop van tijd.
Oplossing laat op zich wachten
Het verwijderen van de inetpub-map is, zoals Microsoft eerder al meldde, geen optie. Volgens Beaumont is er dan ook maar één echte oplossing: een nieuwe beveiligingsupdate. Het is echter de vraag of en wanneer Microsoft die uitrolt. Beaumont zegt het probleem al enkele weken geleden bij Microsoft te hebben gemeld, maar tot op heden is er nog geen update beschikbaar.
Mocht die alsnog verschijnen, dan gebeurt dat waarschijnlijk pas op zijn vroegst op 13 mei, als de volgende Patch Tuesday-update gepland staat.
Gevaarlijke Windows Process Activation-bug
Na installatie van de update viel het veel gebruikers op dat er ineens een lege inetpub-map aanwezig was. Deze map behoort normaal gesproken toe aan Internet Information Services (IIS) van Windows 11. In dit geval ligt dat anders: de map is onderdeel van een beveiligingspatch voor de Windows Process Activation-dienst. Een kwetsbaarheid in die dienst maakte het mogelijk om malware met systeemrechten te installeren.
Wie de map verwijdert, schakelt ook de werking van de beveiligingspatch uit, waardoor hun systeem opnieuw kwetsbaar wordt. Waarom Microsoft specifiek voor deze map koos als onderdeel van de patch, is niet bekend.
