Microsoft lost IE, Office in grote maand beveiligingsupdates

Het totaal van 11 beveiligingen updates uitgebracht voor augustus zijn de grootste updates van Patch Tuesday die Microsoft sinds afgelopen februari heeft uitgebracht en zouden IT-beheerders genoeg moeten doen om de systemen van hun bedrijf te beveiligen. "Mensen zullen druk bezig zijn met deze belasting", zegt Jason Miller, leider van het veiligheidsdatateam voor Shavlik Technologies, leverancier van patch-managementsoftware in St. Paul, Minnesota.

Zes van de patches, die te vinden zijn op de website van Microsoft worden beoordeeld als kritisch, terwijl vijf als belangrijk worden beoordeeld.

[Meer informatie: hoe u malware van uw Windows-pc verwijdert]

Miller en andere beveiligingsexperts citeren Microsoft-beveiligingsbulletin MS08-045, a Cumulatieve beveiligingsupdate voor Internet Explorer, als de topprioriteit van de batch updates van deze maand. De update herstelt vijf privé gemelde beveiligingslekken en een die al openbaar is gemaakt en waarvoor al een aanvalscode bestaat, waardoor het een zero-day foutje is.

Don Leatham, directeur oplossingen en strategie voor Lumension Security, zei het feit dat de IE-kwetsbaarheden invloed hebben op HTML (Hypertext Markup Language) is voldoende reden om ze van het allergrootste belang te maken, omdat de kans op uitbuiting zo groot is. "Elke website ter wereld maakt gebruik van HTML," zei hij. Lumension, gevestigd in Scottsdale, Arizona, levert patch- en kwetsbaarheidsbeheersoftware en -services

Shavlik's Miller zei dat de IE-patches en een andere kritische update die dinsdag is vrijgegeven, een kwetsbaarheid in ActiveX Control voor de Snapshot Viewer voor Microsoft Access repareren - - MS08-041 - zijn gerelateerd omdat ze beide een aanvaller toestaan ​​een website te maken die misbruik maakt van deze kwetsbaarheden. Hij noemde ze beide als prioriteiten voor onmiddellijke installatie.

Leatham noemde de Snapshot Viewer-exploit ook een hoge prioriteit voor IT-beheerders, omdat veel bedrijven Access en zijn Snapshot Viewer-tool uitgebreid gebruiken.

"U kunt er zeker van zijn dat mensen gebruik maken van de kijker om informatie te delen met partners, klanten en intern gezien de populariteit van de Office-suite en hoeveel bedrijven de neiging hebben om Access te gebruiken, "zei hij.

Een update die een kwetsbaarheid in het Microsoft Windows Image Color Management System oplost - MS08-046 - zou ook onmiddellijk moeten worden geïnstalleerd omdat het een aanval zou kunnen toelaten als een gebruiker naar een webpagina navigeert en een bepaalde afbeelding bekijkt, aldus onderzoekers. Het kleurbeheersysteem maakt deel uit van het grafische subsysteem van Windows.

"Aangezien [de kwetsbaarheid] webgebaseerd en grafisch is, wil je absoluut wat speciale aandacht hieraan besteden," zei Leatham.

Twee augustus-updates die als belangrijk worden beoordeeld, moeten ook van belang zijn voor IT-professionals, zelfs als Microsoft hen onder de kritieke updates heeft beoordeeld. Dit zijn MS08-047, waarmee een beveiligingslek in IPsec Policy-verwerking wordt opgelost, en MS08-50, waarmee een fout in Messenger wordt opgelost.

Hoewel Microsoft fouten die de openbaarmaking van informatie mogelijk maken niet als kritiek beschouwt, is de IPSec-kwetsbaarheid, die zou kunnen veranderen van wat mensen denken dat vertrouwde gecodeerde informatietunnels zijn in open tekstcommunicatie, zou dit kunnen worden voor bepaalde bedrijven die IPsec intensief gebruiken om cruciale gegevens over te dragen, zoals zorginstellingen die werken met vertrouwelijke patiënteninformatie, aldus Microsoft.

heeft de kwetsbaarheid van Messenger niet als kritiek beoordeeld omdat het alleen betrekking heeft op het vrijgeven van informatie; het opent echter de mogelijkheid voor een "social engineering-aanval die we niet eerder hebben gezien" en moet serieus worden genomen, zei Amol Sarwate, manager van het onderzoekslaboratorium voor kwetsbaarheden bij Qualys. Qualys, gevestigd in Redwood Shores, Californië, biedt services voor het beheer van kwetsbaarheden en het naleven van beleid.

"Het stelt aanvallers in staat mensen uit te nodigen voor audio- of videoconferencing door zich voor te doen als een slachtoffer", zei hij en merkte op dat het ook een zero-day-kwetsbaarheid is.

Afgelopen donderdag zei Microsoft dat het verwachtte dinsdag 12 beveiligingsupdates te publiceren als onderdeel van zijn maandelijkse patchcyclus, genaamd Patch Tuesday door beveiligingsonderzoekers, maar op het laatste moment trok een van die updates vanwege kwaliteitsproblemen, aldus het bedrijf.

Microsoft heeft geen verdere informatie verstrekt over wanneer en wanneer het de update zou vrijgeven; Wanneer updates echter op het laatste moment eerder zijn opgehaald, worden ze meestal vrijgegeven als onderdeel van de patchcyclus van de volgende maand.

Ook de laatste maanden is er een beveiligingsadvies en patch die Microsoft heeft verzonden naar de tool die veel bedrijven gebruiken om Microsoft-applicaties te patchen, Windows Server Update Services, zei Leatham. Hij adviseerde bedrijven ervoor te zorgen dat ze de tool up-to-date houden en controleren of deze goed werkt voordat August-patches worden geïnstalleerd.

"Er was een vreemde bug waardoor sommige beveiligingspatches niet in gebieden van organisaties konden worden geïmplementeerd," zei Leatham. "U wilt controleren of uw WSUS-server is gepatcht" voordat u nog een ronde updates installeert.