Microsoft-patches, o.a. voor zes 0-days en twee security-omzeilingen

De lading updates die Microsoft deze maand uitbrengt, bestrijkt voor een groot deel Windows in diverse uitvoeringen en versies. Uiteenlopend van Windows 10 en 11 voor Intel-processors en voor 64-bit ARM-chips, tot Windows Server 2019 en ook nog het oude Server 2008. Behalve de besturingssystemen van Microsoft krijgen ook ontwikkelpakket Visual Studio en applicatiepakket Office patches. De teller staat in totaal op zeker 130 fouten die deze Patch Tuesday worden gerepareerd, waaronder een fors aantal dat acuut beveiligingsgevaar bevat.

Gerichte aanvallen, rond NAVO-top

Onder de securitykwetsbaarheden waarvoor Microsoft nu patches biedt, zijn er maar liefst zes stuks die in de praktijk al worden misbruikt. Dit zijn dus zogeheten zero-days, omdat er nul dagen zitten tussen het uitkomen van de patch en het voorkomen van hackaanvallen via de te fixen fout. Daarbij worden ook ingebouwde beveiligingsmaatregelen van Microsofts software omzeild.

Details over één van de nu aangekaarte 0-days is al publiekelijk beschikbaar, schrijft Bleeping Computer. Het gaat hier om een gat (CVE-2023-36884) in Office en Windows waarlangs aanvallers eigen, kwaadaardige code kunnen uitvoeren op een computer. Speciaal geprepareerde Office-documenten dienen daarbij als middel om de aanvallers toegang te verschaffen. Microsoft onderzoekt meldingen hierover en meldt dat het zich bewust is van gerichte aanvallen.

Daar is ook al sprake van geweest (met in ieder geval een andere, oudere kwetsbaarheid) rond de grote NAVO-top Vilnius. Securityleverancier BlackBerry heeft twee kwaadaardige Office-documenten ontdekt die zijn verstuurd als lokaas voor een organisatie die Oekraïne steunt. Daarnaast is er ook een document gedetecteerd dat bedoeld is voor gasten op de NAVO-bijeenkomst.

Nog geen patch voor

Ondertussen is er voor de nieuwere 36884-kwetsbaarheid nog geen patch beschikbaar. Microsoft biedt wel beperkende maatregelen (mitigations) die beheerders moeten nemen om hun systemen te beschermen. Mogelijk dat Microsoft nog een noodpatch hiervoor uitbrengt, maar het kan ook zijn dat de fix voor dit gat pas op Patch Tuesday van augustus komt.

Het implementeren van de mitigations is dan ook van groot belang, benadrukt ook security-expert Maddie Stone van Google's Threat Analysis Group (TAG), waar enkele van de kwetsbaarheden zijn ontdekt en verantwoord gemeld aan Microsoft. Het managen van kwetsbaarheden is meer dan simpelweg het installeren van patches, stipt Jake Williams van het SANS Institute aan. Security-analist Will Dormann van het Amerikaanse CERT (Computer Emergency Response Team) is echter somber gestemd over de mate waarin het handwerk van mitigations plaatsvindt.