Nederlands Windows 7-lek gedicht op Patch Tuesday
Gepubliceerd: Woensdag 9 juni 2010
Auteur: Sander van der Meijs
Microsoft heeft 10 updates uitgebracht in een zware Patch Tuesday, die samen 34 gaten dichten. Daaronder ook een Windows 7-lek dat is ontdekt door een Nederlander.
De updates patchen gaten in Windows, Microsoft Office en SharePoint, Internet Explorer (IE), IIS (Internet Information Server) en het .NET framework. Een van de patches dicht het lek dat Peter Vreugdenhil heeft gebruikt op Pwn2Own om Windows 7 met Internet Explorer te hacken.
Geheugenvervuiling
Omdat Vreugdenhil na de wedstrijd de bug niet openbaar heeft gemaakt, blijkt nu pas waarmee hij de veiligheidsmaatregelen van Microsoft kon omzeilen. Het gaat om een memory corruption lek, waarbij IE het verkeerde geheugendeel aanspreekt dat vervolgens door een aanvaller vervuild kan worden. Vervolgens kan hij de computer overnemen. Op Windows moet hij daarvoor nog wel DEP en ASLR omzeilen, wat Vreugdenhil ook heeft gedaan.
Microsoft is de laatste leverancier die zijn Pwn2Own-lek repareert. Mozilla en Apple hebben dat al in april gedaan.
Kritieke updates
De update voor IE dicht nog vijf lekken. Een daarvan is eerder al openbaar gemaakt, en Microsoft heeft er in een security advisory voor gewaarschuwd. Update MS10-035 is een van de drie updates die van Microsoft het label 'kritiek' krijgt opgeplakt.
MS10-033, een update van twee dll's, is ook kritiek. Deze update is voor alle versies van Windows, inclusief Windows 7. De kwetsbaarheden die deze update repareert, zijn uit te buiten als gebruikers een kwaadaardige website bezoeken en daar een speciaal geprepareerd mediabestand openen.
Office voor Mac
De laatste kritieke update, MS1-034, zet een aantal blokkades (zogeheten killbits) in voor ActiveX-code die draait in IE. Daardoor zijn bepaalde ActiveX-elementen niet toegankelijk. De grootste update is MS10-038, die 14 lekken dicht in Microsoft Office, inclusief Office voor Mac.
Voor een aantal updates heeft Microsoft uitgebreid beschreven wat de impact en het risico is van de verschillende lekken en updates.
Bron: Techworld.nl.
