Microsoft snelt Explorer 8-patchrelease

Slechts 11 dagen na het uitbrengen van een advies, heeft Microsoft een patch uitgebracht voor een bug in Internet Explorer 8 die het Amerikaanse ministerie van arbeid eerder deze maand in bedwang had.

Microsoft's snelle release van deze patch " is een uitstekend voorbeeld van de reactiesnelheid van Microsoft op de beveiligingsgemeenschap en hun gebruikers ", schreef Andrew Storms, directeur van beveiliging van operaties voor beveiligingssoftware Provider Tripwire, in een e-mailoverzicht.

Dit IE8 beveiligingsbulletin (MS13-038) is een van 10 dat Microsoft dinsdag heeft uitgebracht als onderdeel van de "Patch Tuesday" -versie van bugfixes en beveiligingsbulletins die het bedrijf routinematig uitdeelt op de tweede dinsdag van elke maand.

[Lees meer: ​​Malwar verwijderen e vanaf uw Windows-pc]

Microsoft heeft MS13-038 als kritiek gemarkeerd en het bedrijf, samen met andere beveiligingsfirma's, adviseert degenen die nog steeds IE8 gebruiken om de fix onmiddellijk toe te passen. Met behulp van een gewijzigde webpagina op de website van de Labour Department hebben aanvallers dit beveiligingslek gebruikt in een poging kwaadaardige code te installeren op de computers van gebruikers waarop IE8 wordt uitgevoerd. Microsoft heeft vorige week een tijdelijke oplossing voor dit beveiligingslek uitgegeven.

Het andere kritieke bulletin, MS13-037, heeft ook invloed op Internet Explorer. Met deze update worden 11 problemen opgelost waardoor het gemakkelijk was om schadelijke code in de browser te injecteren vanaf een speciaal ontworpen webpagina, zodat de gebruiker de controle over een computer kon overnemen. De update heeft betrekking op de PWN2Own-kwetsbaarheid, die eerder dit jaar werd blootgelegd.

Degenen met Windows Server 2012 moeten onmiddellijk MS MS13-039 bekijken. Deze update lost een kwetsbaarheid op in Microsoft Web IIS (Internet Information Services) die zou kunnen worden gebruikt bij een Denial of Service-aanval (DoS) door het gebruik van een HTTP-pakket. Omdat het relatief eenvoudig zou zijn om een ​​aanval uit te voeren met dit beveiligingslek, zouden organisaties deze update zo snel mogelijk moeten toepassen, omdat exploits op basis van dit lek binnen enkele weken zouden kunnen verschijnen, aldus Tripwire.

Ross Barrett, senior manager beveiligingstechnologie bij beveiligingsbedrijf Rapid7, schreef in een verklaring dat "terwijl DoS-aanvallen over het algemeen als tweede (of derde) niveau worden beschouwd wat betreft risico's, dit potentieel een zeer ontwrichtende werking voor een organisatie kan hebben, aangezien veel externe services en Active Directory-integraties zijn afhankelijk van http.sys, "het netwerksubsysteem dat door IIS wordt gebruikt.

Een" succesvolle exploit van deze bug kan ernstige gevolgen hebben voor openbare webservers zonder een soort inline [inbraakpreventiesysteem] vóór hen. In wezen kan elke gebruiker een eenvoudige aanval starten en de server zal in wezen offline zijn ", merkt Storm op. Hij merkte ook op dat elke kopie van Microsoft Server 2012 - niet alleen die welke als webservers fungeert - IIS zou kunnen gebruiken, zoals een server voor Microsoft Exchange of SharePoint.

De zeven overblijvende bulletins -geen kritisch maar allemaal belangrijk geacht-adres fouten in Microsoft Lync, Publisher, Word, Visio, Windows Essentials,.Net en de Windows-kernel.