Microsoft repareert tijdens Patch Tuesday 117 kwetsbaarheden en vier zerodays

Microsoft heeft tijdens Patch Tuesday 117 kwetsbaarheden gerepareerd in Windows. Vier daarvan werden actief aangevallen, zegt het bedrijf. Dertien bugs kregen een critical-score, waaronder een remote code execution in de dns-server van het OS.

De patchronde van juli repareert in totaal 117 kwetsbaarheden waarvan er dertien een Critical-score krijgen en 103 een Important-score. Eén bug krijgt een Moderate-score. Vier van de bugs zijn volgens Microsoft kwetsbaarheden die in de praktijk worden uitgebuit, maar zoals gebruikelijk geeft het bedrijf geen details over de aanvallen zelf.

Twee van de bugs maken het mogelijk een local privilege escalation uit te voeren op alle Windows-kernels. Een andere zeroday wordt gebruikt voor remote code executions. Van de lekken die niet actief worden misbruikt valt onder andere CVE-2021-34494 op, een remote code execution voor dns-server in Windows.

Een belangrijke patch is die voor PrintNightmare, een bug die eerder deze maand werd ontdekt in de Print Spooler Service. Daarvoor was eerder al een patch uitgebracht, maar die dichtte niet alle problemen. Zo bleef een local privilege escalation mogelijk. De nieuwe patch moet ook die laatste kwetsbaarheden nog verhelpen.

De actief aangevallen kwetsbaarheden:

CVE-2021-34527	Remote code execution in Windows Print Spooler
CVE-2021-33771	Windows-kernel privilege escalation
CVE-2021-34448	Memory corruption in Windows Scripting Engine
CVE-2021-31979	Windows-kernel privilege escalation

Daarnaast worden vijf bugs gepatcht waarvan de details al openbaar waren gemaakt, maar die niet actief werden aangevallen:

CVE-2021-34492	Windows Certificate Spoofing-kwetsbaarheid
CVE-2021-34523	Privilege elevation in Microsoft Exchange Server
CVE-2021-34473	Remote code execution in Microsoft Exchange Server
CVE-2021-33779	ADFS-securityomzeiling
CVE-2021-33781	Active Directory securityomzeiling

Naast de standaard beveiligingsupdate is er ook een Cumulative Update, KB5004237 voor Windows 10 1904.1110, 19042.1110 en 19043.1110.

Reacties (38)

Ligt het aan mij of lijken er steeds meer lekken gepatcht te worden? Goed dat het gepatcht word maar ik zet wel mijn vraagtekens hoe veilig Windows nog is, kan me voorstellen dat het een erg complex OS geworden is met een hoop legacy.

Als ik de laatste 50 gepubliceerde CVE erbij neem met een critical score dan zijn er wel geteld 2 van Microsoft. Echter de rest hoor je niet omdat het niet in de media komt, iets met hoge bomen en veel wind.

Het probleem is dus eerder perceptie.

https://www.cvedetails.co...128bfb13d2f2dadfcea62215b

Dat, en het feit dat Windows draait op 1,3 miljard devices, is het niet zo gek dat er veel sneller iets bekend mee wordt.

https://news.microsoft.com/bythenumbers/en/windowsdevices bron

[Reactie gewijzigd door arthur-m op 14 juli 2021 20:08]

En nog meer apparaten draaien Android. Hoe vaak zie je die in het nieuws?
@Zackito maakt een prima punt, Windows heeft gewoon enorm veel legacy systemen draaien. Door vast te houden aan die legacy systemen, die totaal niet ontwikkeld zijn met veiligheid in gedachte, loop je altijd tegen problemen die je weer moet fixen.
Goed voorbeeld, PrintNightmare heeft ze enorm veel tijd gekost om te fixen en was (wederom) een enorm doorn in het oog van vele systeembeheerders en CISO’s.

Mensen zijn wel een keer klaar met het hele dagen updaten. Wat trouwens ook weer via een stok ouderwets en traag systeem werkt.

En nog meer apparaten draaien Android. Hoe vaak zie je die in het nieuws?

Ehh, behoorlijk vaak? Afgezien van het feit dat het totaal ander soort systemen zijn.

Heel vaak maar op Linux/unix zijn de (sub)systemen atomair en worden deze daardoor specifiek per service genoemd waar bij Windows alles altijd samengevat tot de container class Windows.

De meesten in die lijst ken ik ook niet
Mijn Linux-desktop/server heeft een score van 0 / 50 in deze lijst.
Mijn telefoon mogelijk een score van 1 / 50, de fout in de mali gpu-driver, al is het mogelijk dat mijn huidige telefoon al een nieuwere driver gebruikt.

Als er een lek in Exchange zit dan heeft MS het gedaan maar als er een lek in Exim zit dan is het Exim en niet Linux. Zelfde verhaal met Apache vs ISS van MS. MS bied gigantisch veel software aan in eigen naam terwijl bij opensource er niet 1 naam achter zit.

Ook in dit artikel, een kritiek lek in DNS server, een DNS server is niet een standaard onderdeel van een OS dus dat zou je los moeten trekken van een lek in Windows.

Overigens Linux staat gigantisch veel in die top 50 lijst, routers, Nas systemen, controllers, etc. Er zijn véél meer devices die op Linux draaien dan op Windows. Dat maakt het ook logisch dat in al die verschillende linux varianten heel veel security issues opduiken. Echter omdat er 101 smaken van Linux bestaan is dat dan een lek bij Synology of bij Netgear ook omdat de specifieke Linux versie die men gebruikt een eigen aangepaste variant is van Synology of Netgear.

Dus als er een lek zit in een Dell switch dan is het Linux Dell maar als er een lek zit in een Dell server dan is het Dell Windows/Microsoft. Dat maakt het lastig om vergelijkingen op te zetten.

[Reactie gewijzigd door sprankel op 15 juli 2021 01:45]

Dit gaat altijd met pieken en dalen, maar dit is niet alleen voor Windows het geval. Lek gevonden komt er daarvoor een patch is het in de aandacht en dan volgen er meer.

Ja vier zerodays is best veel

Bij elke patch weer ietsje veiliger.

De bugfix lists van Linux en MacOS zijn ook niet mals hoor.

[Reactie gewijzigd door gimbal op 14 juli 2021 16:33]

Ik heb gisteravond een update rondje gedaan op alle servers. Hoe kan ik zien of ik deze updates heb meegenomen?

Als je dat hier moet vragen, is het misschien beter een ander server beheer te laten doen?

In drie klikken of met een kort Powershell commando kun je zien of deze update geinstalleerd is. Schept een beeld alsof de vraagsteller niet helemaal weet waar hij/zij/hun mee bezig is.

[Reactie gewijzigd door jurroen op 15 juli 2021 22:58]

Wat betekent zero-day nou eigenlijk ? Ik ben er een beetje door in de war en ik begrijp de uitleg die ik online vind niet zo goed.

de definitie is ook wel vrij breed eigenlijk.
zero-day was vroeger de definitie voor exploits die gemaakt en ge-released werden op , of er voor, de dag van de release van de software.
zover ik weet worden hedendaags exploits die al in omloop zijn, voor de developer het weet, ook zero-days genoemt, onder het hoedje dat er 'zero days' zitten tussen het bekent maken en gebruik van de exploit.

make sense?

Een kwetsbaarheid die actief misbruikt wordt voordat hij gepatcht is. Dit in tegenstelling tot bugs die het eerst door white-hat hackers gevonden en gemeld worden.

Uiteraard kun je nooit bewijzen dat een kwetsbaarheid nog niet misbruikt werd, maar Microsoft en consorten hebben wel bewuste honeypots draaien om aanvallen te ontdekken.

De twee Exchange kwetsbaarheden (CVE-2021-34523 en CVE-2021-34473) zijn niet nieuw. Deze kwetsbaarheden zijn al met de patching-ronde in april opgelost... Het is slecht te zien omdat op MSRC ze de release date op 13-7 zetten terwijl als je doorklikt naar het KB nummer (KB5001779) je ziet dat deze al in april (13-4) zijn gereleased. Grote kans dat deze overal al geïnstalleerd zijn omdat de april patches de kwetsbaarheden hell uit april moest mitigeren...

De twee Exchange kwetsbaarheden (CVE-2021-34523 en CVE-2021-34473) zijn niet nieuw.

Klopt, maar let op: er zijn wel degelijk nieuwe kwetsbaarheden verholpen, waaronder:
- 2x Remote Code Execution CVE-2021-31206 en CVE-2021-31196
- 2x Privilege Escalation CVE-2021-33768 en CVE-2021-34470

[Reactie gewijzigd door nesQ op 15 juli 2021 12:05]

Voorlaatste update van Windows gaf bij mij een BSOD.. Wel handig dat hij dan na 2x opnieuw opstarten zelf de installatie ongedaan maakt. Vanavond eens kijken of dit nu ook is opgelost met deze update.

What ik dus niet snap, is dat Microsoft een zero day pas op dinsdag patcht, terwijl ze er al eerder vanaf weten…

Er zitten best goede redenen achter en ook andere partijen doen het op de tweede dinsdag van de maand.

Tuesday was chosen as the optimal day of the week to distribute software patches. This is done to maximize the amount of time available before the upcoming weekend to correct any issues that might arise with those patches, while leaving Monday free to address other unexpected issues that might have arisen over the preceding weekend.

Bron: https://en.m.wikipedia.org/wiki/Patch_Tuesday

Maar ik vind dat het niet aan MS of software ontwikkelaars is om te gaan bepalen hoe bedrijven zich moeten organiseren. Door het achterhouden van patches zorg je er net voor dat lekken langer kunnen blijven bestaan, en daar wint ook niemand bij. Door ze zo snel mogelijk uit te brengen kunnen bedrijven zelf beslissen wat ze doen en hoe ze het doen.

Wanneer MS elke patch meteen klaar zou zetten, zou ieder bedrijf in feite elke moment in staat moeten zijn om die patch meteen te implementeren. Dat werkt bij de meeste bedrijven niet zo.

Ze willen niet te vaak updates uitbrengen. Als de kwetsbaarheden niet door te veel groepen misbruikt worden, laten ze het maar liggen tot volgende maand, want een patch maakt meteen (nou ja, na een beetje analyse) het probleem bij alle andere groepen bekend.

Bij een DRM-kwetsbaarheid heeft MS trouwens in het verleden wél meteen gepatcht, wat wel nogal wrang is.
Maar goed, ik wil dat mijn spelletjes het goed doen dus ik leef er maar mee .

Pffffeewww...

Vier zero days......

Best well heftig...

Ik ken Linux en Mac os wat minder maar is het daar ook zo.....

CVE-details geeft een idee van het aantal kwetsbaarheden per product:

https://www.cvedetails.com/top-50-products.php

Het zegt echter maar zeer weinig over hoe veilig een product nu echt is. Immers, zoals @gimbal al zegt; elke patch wordt het iets veiliger. Wel erger ik me groen en geel aan hoe lang het updaten duurt op Windows. Natuurlijk gaan er weer mensen reageren dat het bij hen slechts 1 minuut in beslag neemt, maar op een wat oudere dual boot machine, is het verschil met (Debian) Linux echt enorm! Linux gemiddeld minder dan een minuut en Windows gemiddeld 10 minuten of langer, plus (meerdere) reboots.

10 minuten, exact genoeg tijd om een kopje thee te halen.

Jij noemt het nadelig dat het langer duurt, ik noem het een kans

Ha ha, ja één kans zou ik nog mee kunnen leven, maar ik heb zo'n dertig kansen die gedurende de dag even binnen komen druppelen.

Meerdere reboots? Daar zijn we toch echt al lang van af hoor. Enkel bij een nieuwe release kan het voorkomen dat er meer dan 1 reboot is, maar zelfs dat is geen zekerheid meer.

Het gaat om systemen die ik soms langer tijd niet zie (thuiswerken). Als ik ze dan weer onder ogen krijg staan er niet zelden meerdere updates klaar. Het gebeurd echt zeer vaak dat een update een restart vereist en dat na het rebooten een nieuwe update verschijnt, waarvoor opnieuw moet worden gereboot.

Het is allemaal best een stukje beter geworden in Windowsland, maar het is nog steed bar vergeleken met Linux. Ik heb systemen waar ik Debian 7 op heb geïnstalleerd en die nu debian 10 draaien, zonder herinstallatie. Ook krijg ik deze systemen vrijwel nooit terug met problemen en draaien updates automatisch zonder dat de gebruiker er ook maar iets van merkt. Jaren lang, zonder enig probleem.

Het feit dat bij Windows met regelmaat updates niet goed gaan, of niet geïnstalleerd kunnen worden, of het hele systeem om zeep helpen, vind ik echt onaccpetabel voor een "professioneel" systeem.

Linux kent ook aan de lopende band security updates, zie:
https://packetstormsecurity.com

Ook voor Linux vinden ze elke maand kritieke problemen hoor. Maar wat is Linux? Zoals een ander hierboven al schreef ga je in de meeste lijsten onder de term Linux vaak alleen de kernel vinden. Alle andere applicaties hebben een eigen entry. Bij MS staat alles onder de noemer MS en voor alles wat je als service kunt installeren op een server, zoals DNS, valt het hier ook onder de noemer Windows.

Dat maakt vergelijken nou zo verdomd moeilijk. Want onder Linux zou je voor een kwetsbaarheid in een DNS server dus op zoek moeten naar de makers van die server en niet naar Linux.

Nee hoor de DNS server komt met belangrijke Linux distro's mee.
Voorbeeld van een omgeving met veel meer programma's dan Microsoft ooit geleverd heeft: https://access.redhat.com...e_threatSeverity=Critical
Meestal Firefox trouwens. Erg weinig vergeleken met patch tuesday en dan te bedenken dat MS niet alles verteld want closed source.
Het grootste bewijs is natuurlijk de ontelbare ransomware incidenten op het windows platform.

[Reactie gewijzigd door souplost op 19 juli 2021 19:56]

Bij mij mislukte de cumulatieve patch op W8.1 omdat een onderdeel ervan, de verwijdering van Adobe Flash Player, vastloopt. Ik heb deze Flash Player al eerder handmatig verwijderd,maar dit ging niet helemaal goed in de registry, een aantal sleutels lieten zich niet verwijderen. Opnieuw (tijdelijk) installeren van Flash zou dit kunnen oplossen, maar deze is nergens meer beschikbaar...