Cookies op Tweakers

Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , 35 reacties

Microsoft heeft tijdens zijn patch tuesday-ronde een oude ssl-backdoor van de Amerikaanse overheid gedicht. Ook een bug die zou zijn misbruikt in een aanval op Iraanse nucleaire centrifuges en nog niet geheel bleek te zijn gedicht, is nu echt opgelost, aldus Microsoft.

Windows 8Aanvankelijk werd gedacht dat Windows-gebruikers niet kwetsbaar waren voor de zogenoemde Freak-aanval, een oude backdoor in ssl waardoor aanvallers een lagere graad van encryptie kunnen afdwingen en de verbinding zodoende kunnen afluisteren. Later bleek dat toch zo te zijn, en Microsoft heeft de bug nu geplet tijdens zijn patch tuesday-beveiligingsronde.

Daarnaast bleek een kwetsbaarheid die jaren geleden zou zijn gebruikt door de Amerikaanse overheid in de Stuxnet-aanval op Iraanse nucleaire installaties nog niet goed genoeg gedicht. De bug werd al in 2010 verholpen, maar er bleek toch nog een mogelijkheid te bestaan om code uit te voeren op het systeem van een slachtoffer. Het gaat om de zogenoemde '.lnk'-bug, waarbij een aanvaller code kan uitvoeren op een systeem door hem of haar een folder met een malafide shortcut te laten openen.

De Duitse onderzoeker Michael Heerklotz ontdekte dat de bug nog te misbruiken was, schrijft Threatpost. Hij wist de maatregelen die Microsoft had ingebouwd om de bug in te dammen, te omzeilen. Het is onduidelijk of de bug de afgelopen vijf jaar is misbruikt. Zeker is wel dat de bug eenvoudig te misbruiken is: een aanvaller kan bijvoorbeeld een usb-stick met een besmette shortcut aan een slachtoffer geven, waarna het aankoppelen van de usb-stick en het openen van de folder voldoende is om geïnfecteerd te worden.

Moderatie-faq Wijzig weergave

Reacties (35)

OSX/IOS en Windows zijn er rap bij, nu Google nog met Android.
Voor 930 miljoen, dus 60% van de Android gebruikers met 4.3 of lager wordt het nooit meer in orde gemaakt, althans voor het webviewer gedeelte in het os zelf: nieuws: Google dicht lekken in stock-browser Android 4.3 en lager niet meer Die gebruikers kunnen nog wel een nieuwe Chromebrowser downloaden, waarin in de bŤta deze bug al gefixed is.

En voor nog eens 7% van alle android gebruikers, biedt Google ook geen veiligheid voor de Browser meer aan:
nieuws: Google stopt met ondersteunen van Chrome voor Android 4.0
Gelukkig kunnen die gebruikers nog wel een browser als Firefox installeren.
de kwetsbaarheid zat enkel in de SSL-stack van chrome, niet in de webview
Hier staat dat het wel webview betreft: https://www.nccgroup.com/...k-ssltls-vulnerabilities/

- Fix pending (maar vermoedelijk wordt deze fix alleen in nieuwere versies doorgevoerd)
Dat maakt toch ook niet uit bij Android? Als je het Google-OS gebruikt snap je dat er altijd iemand meekijkt want op dat principe is het hele verdien-model gebaseerd bij Google. Verdienen aan de analyse wat je gebruikers doen. Ze trekken die filosofie dusdanig door dat ze het ook niet erg vinden dat andere mensen dan kunnen meekijken en dat is eigenlijk wel schandalig dat je dan die klanten gewoonweg niet meer helpt. En natuurlijk is het onderhouden van hele oude OS-en op oude toestellen een hoop werk en misschien soms ondoenlijk maar zo oud is 4.3 toch ook weer niet ?
De vraag is niet of ze de nieuwe Android builds van een update voorzien, eerder of ze android 4.3 en lager (waar hun userbase grotendeels uit bestaat) een security update krijgen.

[Reactie gewijzigd door vali op 11 maart 2015 09:33]

android was niet kwetsbaar, enkel de chrome browser, en die is al ge-update

[Reactie gewijzigd door jeroen7s op 11 maart 2015 09:56]

Hier geen updates beschikbaar voor chrome maar nog wel kwetsbaar, daarnaast zijn denk ik de oude 'stock' browsers ook kwetsbaar zou je denken.
volgens het bericht op tweakers was enkel de SSL-stack van de chrome-browser kwetsbaar
Sinds deze updates werken al mijn .exe bestanden niet meer?! Als ik een .exe bestand open krijg ik de melding ''de parameter is onjuist''. Systeemherstel en sfc /scannow heeft niet geholpen, iemand die kan helpen?

PS. In veilige modus werkt alles wel.

[Reactie gewijzigd door TheFearNL op 11 maart 2015 14:58]

Ja die heb ik inderdaad, maar ik kon mijn pc wel gewoon opstarten. Toch kloten dat mijn vertrouwen richting Panda wordt geschaadt, vind het een erg fijne AV. Vooral omdat je bij Panda kunt instellen dat er altijd gevraagd wordt wat er moet gebeuren als die iets vindt ipv het bestand direct in quarantaine te gooien. Scheelt mij een hoop gedoe met false positives. Iemand die toevallig een gratis AV weet met deze zelfde mogelijkheid?
Hieronder een linkje met wat extra mogelijkheden om je probleem te fixen. Vooral het openen van een command prompt met admin rechten is erg handig, omdat die geen gebruik maakt van de register instructies over wat Windows moet doen met .exe bestanden.

https://www.raymond.cc/bl...ociation-caused-by-virus/
Wanneer komt Google met de patch voor hun systemen? Android en Chrome? Ik dacht dat er voor Chrome inmiddels een beta uit is, maar Google moet als de wiedeweerga hun installed base aan Android devices updaten. Hup Google!
En anders publiceert Google zelf binnen 30 dagen alle details over de lek toch?
nieuws: Google brengt Android 5.1 met betere apparaatbeveiliging en HD Voice uit Google's nieuwe android 5.1 heeft gewoon betere apparaatbeveiliging en is al beschikbaar.
Volgens mij is er nog nooit iets gereleased zonder betere beveiliging. Dat staat er altijd bij, net als betere gebruikerservaring.

Het gaat hier om een specifiek lek wat gedicht moet worden.
Nieuws: Lollipop draait na 5 maanden pas op 3.3% van de Android apparaten.

https://developer.android.com/about/dashboards/index.html
Fijn, maar Google mag niet verwachten dat iedereen overstapt of kan overstappen. Net zo min als dat Microsoft er niet vanuit mocht gaan die iedereen met Windows XP (vrijwel) direct overstapte of Vista, vervolgens op Windows 7 en 8. Als Google dat wel doet is dat een heeeel slechte verwachting en zelfs gedeeltelijk minachting van zijn gebruikers.
De Amerikaanse overheid zorgt wereldwijd voor veiligheid (of komt anders in ieder geval op voor hun eigen belang),
En ik begrijp dat die positie mede-mogelijk werd gemaakt door de back-doors die in Microsoft Windows zaten.

Dan vraag ik mij wel af, met welke digitale wapens Amerika nu gaat voorkomen dat vreemde landen kernreactors en Chemische wapens bouwen. Dat moet toch te stoppen zijn door de boel op andere manier te saboteren?
Ik ben ook erg blij dat de NSA er voor zorgt dat Al-Qaida niet meer in de bestuurskamer van Braziliaanse oliebedrijven zit en dat Merkel niet perongeluk belt met Al-Bagdahdi of zo.

Even serieus: dit gaat niet om veiligheid; de NSA doet volop aan economische spionage voor een klein groepje (elite) Amerikaanse bedrijven.

Er zitten dus echt geen Taliban leden in oliebedrijven van BraziliŽ of zo, dus waarom zou je daar spioneren als je 'vecht tegen terrorisme'? Iedereen die dat gelooft werkt alleen maar mee aan die grap van hun.
Alsof dit de enige backdoor is die ze hebben ;)
Naast e.a. aan toegang in Windows zelf hebben ze toegang tot vrijwel alle grote cloud diensten en zeker nu Windows meer naar de cloud leunt is dat handig voor de overheden.
Daarnaast is er nog ouderwets hacken.
Het zou niet de eerste keer zijn dat een belangrijk doelwit geinfecteerd wordt door USB sticks die van Amerikanen af komen...
En ik begrijp dat die positie mede-mogelijk werd gemaakt door de back-doors die in Microsoft Windows zaten.

Het was geen backdoor, maar een export-beperking voor militaire toepassingen. Nederland heeft anno 2015 ook zulke export-beperkingen voor bedrijven. Inmiddels is deze Amerikaanse specifieek export beperking gelukkig al ruim 10 jaar geleden afgeschaft.

Echter een bug in OpenSSL en Microsoft's Schannel zorgde ervoor dat de oude zwakke encryptie nog steeds geaccepteerd werd door een client (browser) onder heel specifieek omstandigheden. Dat was een bug, niet meer of minder.
Deze reactie is sarcasme mag ik hopen?

Heb je al eens gekeken naar de landen waar de VS zoal voor "veiligheid" zorgt?
En hoe kan iemand met zijn volle verstand argumenteren dat de VS het recht heeft kernreactoren te saboteren in landen aan de andere kant van de wereld?
Dit topic gaat over een windows bug die al vijf jaar eenvoudig te misbruiken is, terwijl de commentaren gaan over Android en Chrome. Is dit niet een beetje vreemd?
De kans bestaat dat de hele kantoorautomatisering verworden is tot een windows botnet zonder dat wij dit weten.
Op zich is dat off topic ware het niet dat Google vorige maand luid van de daken riep dat Microsoft achter loopt met het patchen van veiligheidsproblemen (de befaamde 90 dagen grens). Het moge duidelijk zijn dat Google eens de hand in eigen boezem moet steken.
Het gaat niet over Google. het gaat over een makkelijk uit te buiten windows probleem wat pas naar 5 jaar is gepatcht!
Ja ik vind het ook vreemd om in een Microsoft patch bericht het direct over andere vendors te hebben. Ik ben het helemaal eens dat Google met een grote installbase op 4.x nog best een verantwoordelijkheid heeft, maar dat maakt de on-topic vendor ook niet heilig: met deze andere patch voor een vijf jaar oud lek. Of Windows Phone ook niet een patch moet krijgen vraag ik me af, en hier heeft Microsoft de 7.8 versies al drie maanden eerder dan Google de boel end of support verklaard...
Super! Ik ga dadelijk onze kerncentrales updaten.
Succes Homer!
Ze zijn weer goed bezig geweest, 47 nieuwe updates goed voor 860MB.. :9
(ook heel wat office 2013 updates)

[Reactie gewijzigd door SmokingCrop op 11 maart 2015 13:03]

Welke update?

Ik kan geen updates vinden

Op dit item kan niet meer gereageerd worden.



Apple iOS 10 Google Pixel Apple iPhone 7 Sony PlayStation VR AMD Radeon RX 480 4GB Battlefield 1 Google Android Nougat Watch Dogs 2

© 1998 - 2016 de Persgroep Online Services B.V. Tweakers vormt samen met o.a. Autotrack en Carsom.nl de Persgroep Online Services B.V. Hosting door True