Monsterachtige Patch Tuesday dicht 34 lekken
Gepubliceerd: Woensdag 11 augustus 2010
Auteur: Sander van der Meijs
Microsoft heeft een record aantal updates uitgebracht. Nooit waren er zoveel security bulletins in één maand, waarmee 34 gaten in software worden gedicht. Adobe doet er nog zes gaten bovenop.
Acht van de updates worden door Microsoft als kritiek gezien, en de andere zes zijn belangrijk. De kwetsbaarheden die worden gedicht zitten in Office, alle versies van Windows, Internet Explorer, Silverlight, XML Core Services en SMB.
Belangrijke lekken
Microsoft zelf legt de nadruk op vier updates, omdat die het makkelijkst zijn uit te buiten. De eerste is MS10-52, die een kwetsbaarheid oplost in MPEG codecs. Deze laat aanvallers van een afstand code uitvoeren op de machine met dezelfde rechten als de gebruiker als die gebruiker een speciaal gemaakt mediabestand opent. MS10-055 lost ook een probleem op in een codec. Ook door dit lek kan een aanvaller dezelfde rechten krijgen als de gebruiker. MS10-056 rekent af met vier kwetsbaarheden in Office. De ernstigste daarvan kan een aanvaller weer dezelfde rechten geven als de gebruiker. Tot slot krijgt MS10-060 nog speciale aandacht, dat twee gaten dicht in het .NET Framework en Silverlight.
Microsoft heeft nog geen aanvallen gezien in het wild op deze lekken, maar voor de bovengenoemde vier lekken verwachten ze die op korte termijn. De andere kritieke gaten zijn volgens Microsoft moeilijk uit te buiten.
Nieuw lek in Windows
Dat laatste geldt ook voor de bug in Windows die afgelopen vrijdag openbaar is geworden. Microsoft heeft het lek onderzocht en daaruit blijkt dat het geen ernstig lek is, aldus Jerry Bryant in een blogpost. Om gebruik te maken van dit lek moet een aanvaller al een account hebben op het systeem. Bovendien moet hij fysieke toegang hebben tot de computer. Daarom zal er geen security advisory komen, maar het lek zal volgens Bryant in de komende maanden wel worden gepatcht.
Lekken in Flash Player
Adobe doet er nog een schepje bovenop. Het bedrijf heeft zes kwetsbaarheden gepatcht in Flash Player, die allemaal als kritiek worden aangemerkt. Zoals gebruikelijk geeft Adobe niet heel veel details. Vijf ervan zijn memory corruption lekken en de zesde kan een click-jacking aanval mogelijk maken.
Tot slot zal Adobe binnenkort ook nog een update uitbrengen voor Reader en Acrobat. Dit is een out-of-band patch die een kritiek probleem oplost dat onlangs op Black Hat bekend werd
Bron: Techworld
