Microsoft repareert 55 lekken op Patch Tuesday waaronder twee actief misbruikte

Microsoft heeft tijdens Patch Tuesday 55 kwetsbaarheden in Windows en Office-programma's gerepareerd. Zes van de kwetsbaarheden waren zerodays. In 15 gevallen ging het om lekken waarbij code op een machine kon worden uitgevoerd.

De release voor Windows 10 en 11 bevat bugfixes voor 55 kwetsbaarheden. Naast Windows zijn ook Office, Azure en Edge gerepareerd. Van zes kwetsbaarheden was al informatie bekend. Twee van die kwetsbaarheden werden ook daadwerkelijk in het wild aangevallen, zegt Microsoft. Dat zijn CVE-2021-42292 en CVE-2021-42321. Dat zijn een omzeiling van securitypreview in Excel en een remote code execution in Exchange. Voor de Exchange-RCE heeft een aanvaller wel eerst ook authenticatie nodig. Die krijgt daarom een CVSS-score van 8.8. Opvallend is dat details over die kwetsbaarheid ook werden uitgevonden op de Chinese Tianfu-hackingwedstrijd in oktober. Die details waren toen nog niet openbaar gemaakt.

Andere opvallende bugs zijn onder andere CVE-2021-42298, een remote code execution-bug in Microsoft Defender waarbij een aanvaller code kon uitvoeren door alleen een bestand te sturen naar een systeem. Twee kwetsbaarheden in het Remote Desktop Protocol waren al eerder aangedragen door beveiligingsonderzoekers, CVE-2021-38631 en CVE-2021-41371. Die krijgen de klassificatie 'Important', omdat het ermee mogelijk was RDP-wachtwoorden van een systeem af te lezen. RDP is een gewild doelwit voor ransomwarecriminelen.

In totaal zijn 15 van de Patch Tuesday-fixes voor remote code executions. In 20 gevallen werden local privilege escalations gerepareerd, en in nog eens 10 gevallen een lek waarbij informatie kon worden achterhaald. Er werden daarnaast spoofingkwetsbaarheden en denial-of-service-kwetsbaarheden gefixt. Het aantal van 55 gerepareerde lekken is relatief laag voor een Patch Tuesday.

Reacties (86)

Let op, er zijn een aantal patches voor Active Directory. En voor 2 daarvan moet je na het patchen handmatige stappen uitvoeren om daadwerkelijk beschermd te zijn.
https://support.microsoft...d0-4cb8-959a-143bd0201041
https://support.microsoft...ba-4248-a60e-d6cbc849cde1

Er is een bevestigd probleem met een van de wijzigingen.
https://docs.microsoft.co...s-server-2019#2748msgdesc

[Reactie gewijzigd door Bosjvd2 op 12 november 2021 10:13]

Kun je uitleggen wat Active Directory is en wat er precies gedaan moet worden om deze stappen uit te voeren?

Als je geen idee hebt wat Active Directory is dan is die informatie gegarandeerd niet relevant voor je.

Als je vraagt wat active directory is, dan is de kans heel erg klein dat je er mee te maken hebt.
Als je de links volgt, dan kan je precies zien wat er moet gebeuren. Snap je de instructies op deze pagina niet dan moet je het echt overlaten aan professionals die het snappen.

Dat klopt, Windows bugs zijn niet van toepassing op een MAC, kijk daar voor bij Apple...
https://support.apple.com/nl-nl/HT201222

Een Mac is niet per definitie veilig. Ook daar zijn lekken en andere problemen. Het platform was enkel jarenlang niet zo interessant voor hackers e.d. omdat het aantal gebruikers niet zo hoog lag. Maar nu het Apple platform steeds populairder wordt, richten steeds meer hackers e.d. er zich op.

Maar die iMac 2007 zijn zo onverwoestbaar. Draai nog High Sierra Mac OS met de nieuwste Chrome versies op de ene, de andere Windows 10 21H2 32bits versie, helemaal up-to-date. En 2025 halen die iMacs ook nog wel. Wel recent die certificaat problemen moeten oplossen.

Zie mijn punt hierboven... Je veilig wanen in een OS is juist de grootste valkuil. Alle ontwikkelaars maken fouten en waar een wil is is een weg...

Tegen eigen gebruikers is geen fix voor te maken. Daar werkt enkel opvoeding

Dit is echt niet waar, ik ben van mening dat iedere gebruiker wel eens een keer op een link klikt waar dat niet had moeten gebeuren. Van elk niveau op de werkvloer, onder de juiste omstandigheden als werkdruk, de effort die er in gestoken is om een zo correct mogelijke mail te maken.

Het volgende artikel gaat over het testen van de gebruikers op oplettendheid. Wat een IT organisatie zich moet afvragen: wat als iemand zo'n link gebruikt, wat zijn dan de risico's, welke data kan besmet/versleuteld worden.

In het voorbeeld van de Media Mark is het makkelijk te stellen dat een collega de verkeerde link geopend heeft, eerder zou je naar de IT afdeling kunnen kijken waarom die gebruiker bij zoveel verschillende systemen kan komen.

Het kan echt iedereen overkomen. Ben het wel met je eens. Maar zolang ik nog steeds zie dat bij grote bedrijven een bepaalde groep ‘VIP gebruikers’ geen MFA of andere ‘beperkende’ middelen hoeft te gebruiken om bij systemen te kunnen komen, is er denk ik (vooral bij die groep vip users) nog wel wat werk aan de winkel met betrekking tot bewustwording.

[Reactie gewijzigd door TheVMaster op 10 november 2021 10:14]

De echte vip gebruikers laten het systeem gebruiken aan anderen over. Directeuren hebben hun secretaresses.
Voor de nep vip gebruikers die zelf geen mfa willen gebruiken moeten op een onopvallende manier toch aan de mfa, bijvoorbeeld door begeleid eerste gebruik. Daarna hebben ze er geen erg in dat hun systeem de mfa is. Bedenk hier het vinkje dat de cloud operators bij de mfa-login geven met 'vertrouw dit systeem' of zo iets. Of natuurlijk de vingerafdruk en dergelijke. Ook altijd fancy.

Je zou het denken. Toch ken ik situaties waarbij VIPs uitgesloten zijn van bepaalde securitymaatregelen. Raar, maar waar.

Dat hoeft maar 2 of 3 keer fout te gaan

Inderdaad. 😊

Mail waarvan ik de herkomst niet herken, maar zich toch door SpamAssassin en de spam filter in Thunderbird heen heeft weten te wringen, knikker ik zonder pardon weg. Thunderbird staat zo afgesteld dat deze nooit automatisch mail opent. Grammatica en/of spelfouten in de onderwerp of fzender...weg ermee! 'Re:' en/of 'Fwd:' in het onderwerp van het bericht, weet zelf heel goed waarover ik communiceer en maar 5% van dit soort berichten zijn legitiem. In mijn geval dan. De rest verdwijnt net zo snel als dat het binnenkomt.

Ook klik ik nooit op links in mails, alleen als ik zelf om bepaalde mails heb gevraagd. Ben nog nooit in een val getrapt sinds 1996, toen ik mijn eerste mail bericht via een browser bekeek. Daarmee wil ik alleen aangeven dat het wel mogelijk is om zonder extra beveiligingsmaatregelen geen problemen op te lopen. Ontvang nog altijd zo'n 100-tal mails per dag.

Geluk? Gezond verstand? Een combinatie van beide? Waarschijnlijk. Maar ik realizeer me wel degelijk dat er genoeg mensen zijn die minder bedreven zijn hierin. Ben zelf ook in de positie dat ik geen donder geef om mails die ik weggooi zonder ze ooit in te hebben gezien. Ben zelf van mening dat velen hier veel gevoeliger voor zijn en mails toch inzien, daarbij direct indruisen tegen het stemmetje in het hoofd dat het misschien toch niet zo'n goed idee is.

Kortom, ik ben afdoende anti-sociaal voor deze werkwijze. Dat specifieke mail adres werkt al jaren niet meer, maar heb andere accounts die al ruim 25 jaar actief zijn.

Een standaard gebruiker dient inderdaad niet bij al teveel systemen toegang te hebben. Maar heb hier enkele developers onder mijn hoede die storingen en andere soorten problemen op moeten lossen. Software die hen bij die taak helpt, heeft al heel gauw administrator rechten nodig, want ze moeten door services, achtergrond processen en/of COM objecten (redelijk) diep in Windows duiken. voor het overgrote deel in test- of acceptance-omgevingen, heel soms in productie-omgevingen. En ze worden betaald voor 24-uurs inzetbaarheid bij klanten in meerdere landen.

Niet alle soorten gebruikers zijn hetzelfde en hen beperken in toegang kan nogal in kosten oplopen. niet alleen door personeelskosten, maar we zijn aktief in een 24-uurs industrie waar heftige boetes worden uitgedeeld als andere bedrijven in de problemen komen wanneer blijkt dat de klant incorrecte data heeft aangeleverd. Tijdelijke toegang tot speciale accounts (met medeweten en eventueel onder toezicht van de IT-afdeling van de klant) zijn dan een enigzins 'gulden middenweg'.

Jouw stelling van 'iedere gebruiker zo min mogelijk rechten' mag dan wel geldig zijn voor zo'n 90% van alle gebruikers, voor de rest gaat dat niet op. Een ander, ook erg groot probleem is dat heel veel gebruikers van mening zijn dat ze onderdeel zijn van die 10%, zich daarnaar gedragen en niet willen horen of inzien dat ze met minder rechten aan moeten doen. Dat soort situaties kom ik vaker tegen dan zou moeten.

Kwaadwillenden zijn vooral op zoek middels social engineering naar accounts van dat soort personen.

Fijn dat ik er nog mensen zijn die genuanceerder en minder ego-gericht na kunnen denken dan 'ik zou dat nooit doen wat zijn die gebruikers dom zeg'. Het is juist dat soort arrogantie die dit mogelijk maakt.

Ik zou het eerder stellen als "Wat zijn die gebruikers dom zeg! Ik ben er ook eentje van!". ;-)

Zelfs doorgewinterde ITers hebben wel eens een slecht moment en klikken wel eens op wat niet de bedoeling was. Meestal veroorzaakt dat geen schade, maar heel soms wel.

Gebruikers 'opvoeden' is veel makkelijker gezegd dan gedaan, het gros van de ITers wil dat niet zelf doen en hebben ook niet de communicatie vaardigheden om dat goed te doen. Daarnaast zijn er best veel gebruikers gewoon niet op te voeden. En bij bedrijven waar gewoon heel veel doorloop is, is het een gebed zonder eind.

De enige manier om een computer echt 'veilig' te krijgen is door deze uit te zetten... ;-)

Maar er zijn echt wel manieren om dingen beter te beveiligen, maar dan krijg je al snel de opmerking dat eindgebruikers het niet werkbaar meer vinden.

Het gaat zelfs zover dat ze dat gebruiken als argument in “the war for talent”. IT moet “makkelijk” zijn, maar makkelijk en goede beveiliging gaan vaak niet hand in hand gaan.

Dat gebeurd natuurlijk, echter is het dan aan IT om uit te leggen waarom het zo is. Maar deel van het issue is dat IT daadwerkelijk niet bezig is met gebruikers het makkelijker te maken en alleen het makkelijker te maken voor zichzelf. Er zijn over het algemeen oplossingen die het voor iedereen werkbaar maakt, maar die kosten geld qua maandelijkse kosten, tijd=geld in implementatie en tijd=geld in onderhoud.

In het uiterste geval kan je vragen aan de directeur of hij schriftelijk wil opstellen dat hij tegen de bezwaren van IT deze acties toch wil implementeren. Als het dan goed fout gaat, ligt de verantwoordelijkheid niet langer bij IT en meestal als je zo een documentje voorlegt dan komt men toch wel vaak terug van die positie...

Ik had dit dus laatst(techsavvy als ik dacht dat ik was).

Kort verhaal.
Iets besteld bij postNL.
Dag later spammail krijgen van "postNL"
Gegevens ingevuld onder het mom van ff snel want ik wil weten wanneer mijn pakketje komt.
Op het moment dat ik op "gegevens versturen klik"besef ik mij dat dit wellicht geen goede actie was.
De volgende dag wordt ik gebeld door allerhande vage bedrijven en energieleveranciers die mij spullen willen verkopen.
Ik sta dus nu in een foute database

Ach. Zo heb ik ooit m’n T-Mobile abonnement opgezegd en naar Vodafone gegaan. Na 3 weken een “mail” van “T-Mobile” over een nog openstaand bedrag.

Niet ingetrapt maar de timing was zó goed dat je er heel makkelijk ingeluist had kunnen worden.

ivanti workspace control met appguard module, werkt anders prima deluxe

Op zich werkt dat goed, maar als men in Windows nu eens de functionaliteiten gebruikt die standaard worden aangeboden, dan heb je Ivanti helemaal niet nodig (en het is ook nog eens niet goedkoop).

Ik zou Ivanti ook niet aanraden. Werkt vertragend en voegt weinig toe.

Daarom, Ik kom bij zoveel klanten waar het alleen maar vertragend werkt en ze er vanaf willen. Windows biedt tegenwoordig meer dan genoeg vergelijkbare technieken om te zorgen voor een veilige moderne werkplek.

dat is kennisgebrek van de tweaker denk ik.
ivanti is razendsnel mits je aparte db hebt voor logfiles etc, en niet overdreven settings opslaat en laad bij aanmelden.
en uiteraard je sql server niet op sata draait zegt maar..

Ik kan me er iets bij voorstellen op een Citrix omgeving, maar Ivanti heeft wat mij betreft helemaal niets te zoeken op een Windows werkplek. Weet niet op welke roze wolk jij leeft, maar elke klant waar ik kom en ze dus Ivanti op de werkplek gebruiken klaagt over aanlogtijden die langer zijn dan 30-60 seconden. Ongetwijfeld heeft dat te maken met de skills van de personen die het configuratieproces hebben opgezet, maar dat neemt niet weg dat het vaak onwerkbaar is en dat de eindgebruikers er ook vaak niet blij mee zijn. :-)

6 seconden aanmelden , 7 afmelden ..

Dat is inderdaad netjes. Ik moet die klanten nog tegenkomen. Meestal wordt er zoveel geladen dat het >60 seconden (en vaak een veelvoud) duurt voordat je vanaf aanlog tot bureaublad zit.

meestal zijn dat certificaten, cookies e.a. die bij aan en afmelden worden geladen/opgeslagen.
die sla ik niet op omdat die ik die geredirect heb naar een share lager dan de homedrive van de gebruiker (hidden), hoef je die niet op te slaan c.q. te laden

Veel PICNIC issues...

Problem In Chair, Not In Computer.

PeBCaK maar dan anders!

"Problem exists Between Chair and Computer"

Maar wel leuk gevonden

PeBCaK? K? Komputer?

hahahahahaha Keyboard!!!!

(Oude Spelling )

[Reactie gewijzigd door Anoniem: 401186 op 10 november 2021 11:26]

Volgens mij is het : Problem Exists Between Keyboard And Chair. PEBKAC dus.

Picnic is veel uitspreekbaarder

Spreek uit: Aj dee ten T
Lees: ID10T

Ook een oude bekende

Van UserFriendly.org zelfs: http://ars.userfriendly.org/cartoons/?id=19990211

ID10T error

Layer 8 problem..

Lang geleden ben ik tegen een uniek softwarepakket aangelopen en dat heeft op de dag van vandaag nog erg goed geholpen: Common Sense 2010. Zo te zien wordt het helaas niet meer verkocht...

als je dit cdtje nog vindt wil ik wel een kopie om hier uit te delen

Zeker waar!

Traps / Cortex van Palo Alto werkt ook heerlijk . Vaak actief geworden als mensen o.a. Factuur.zip willen uitpakken .

[Reactie gewijzigd door RobbyTown op 10 november 2021 09:19]

Wij sturen een mail uit zodra we merken dat er veel phishing mailtjes binnenkomen, geven nieuwe stafleden informatie erover tijdens de uitlevering van hun laptop en hebben artikelen op het intranet staan. Toch hadden we laatst weer een medewerker die voor een paar honderd euro giftcards heeft gehaald voor de "directeur"

Tegen eigen gebruikers is geen fix voor te maken. Daar werkt enkel opvoeding

Ga je gang zou ik zeggen.
Misschien een betere tijdsbesteding dan ergens een reactie wegzetten.

Klinkt heel arrogant namelijk 'ik weet het beter'
Maar vaak ontbeert bij dit soort mensen de people skills en het geduld om het gewoon normaal uit te leggen.

Opvoeden is zeker belangrijk, maar wat ik vooral mis bij ons zijn duidelijke voorbeelden en gevolgen. Wij krijgen vanuit ons security team elk kwartaal een aantal filmpjes en bijbehorende multiple choice vragen of 'spelletjes' aangeleverd die we verplicht moeten volgen. Daar zitten wel voorbeelden in maar deze filmpjes zijn heel flauw en onvoldoende sterk vind ik (Pietje klikte op een link en nu is hij ontslagen omdat het zijn werkgever 300K heeft gekost).

MediaMarkt, VDL, RTL en anderen zijn goede cases waar je als IT op in zou kunnen springen door te laten zien wat er gebeurd is en wat de gevolgen zijn voor het bedrijf en haar klanten.

Vraag mij af hoeveel gebruikers niet weten dat ze maandelijk ook de Office updates moeten ophalen.
Newer versions of Office
Open any Office app, such as Word, and create a new document.
Go to File > Account (or Office Account if you opened Outlook).
Under Product Information, choose Update Options > Update Now.
Note: You may need to click Enable Updates first if you don't see the Update Now option right away.

Je kunt in Windows instellen dat Windows Update ook meteen Office updates meeneemt. Hoeft dus niet apart, maar je moet het wel eenmalig instellen.

Oke dankjewel, dat heb ik niet gezien. Waar zit dat dan precies @Wildfire ? Een instelling bij de Updates?

Windows Update --> Geavanceerde opties --> Updates voor andere Microsoft-producten ontvangen

Dankjewel @Wildfire, ergens wel gezien, maar weer vergeten.

[Reactie gewijzigd door gbrugman op 11 november 2021 18:32]

Ik verbaas mij er iedere keer weer over hoeveel kritische bugs er gefixt moeten worden, vooral op het gebied van RDP. Microsoft heeft enorme teams deskundigen, maar toch sluipen er steeds ernstige bugs in hun software. Blijkbaar speelt tijdsdruk & een logge organisatie hierbij een rol, aangezien er in de open source-community naar mijn idee veel minder van dit soort ernstige bugs naar voren komen. Waarschijnlijk ook doordat de code voor iedereen beschikbaar is & dus veel meer ge-audit wordt.

false assumption...
in elk stukje programmeer werk zitten fouten, omdat je niet alle scenarios van hoe de software benaderd wordt kan testen. Soms is het een simpele denkfout, die bijvoorbeeld SQL injection geeft. de aanvaller gebruikt een invoerbox door daarin op een speciale manier code toe te voegen. voorbeeld: https://therecord.media/h...app-to-deploy-ransomware/

andere denkfouten maken het mogelijk om (door een kwaadwillende) code te verstoppen, zodat bij een code review dit niet opvalt. https://www.lightbluetouc...nvisible-vulnerabilities/

soms is het iets ingewikkelder, maar niet minder dom. voorbeeld: gebruik van een niet zo random number generator. https://donjon.ledger.com/kaspersky-password-manager/

[Reactie gewijzigd door burnedhardware op 10 november 2021 10:04]

Jazeker, fouten zijn snel gemaakt, zeker bij complexe programmatuur. Is denk ik ook inherent aan al de legacy-componenten, die Windows al jarenlang meezeult. Toch heb ik het idee dat Linux & open source in het algemeen veiliger is dan closed source, zoals Windows. Ik kan het niet echt onderbouwen, maar ik ervaar Linux toch als een veiliger OS, doordat je veel meer zicht hebt op alle processen die erop draaien & het vanaf de grond af ontworpen is, met security in het achterhoofd.

Ik kan dit keer het gewoon niet laten hier op te reageren.

Altijd zie je bij beveiligingsissues in Windows het commentaar dat Apple en Linux het zoveel beter doen, maar dat is maar voor een deel waar. De grootste oorzaak dat er zo weinig gemeld wordt over Linux / Apple vulnerabilities, is omdat er relatief een stuk minder eindgebruikers dat OS gebruiken, en het dus een minder interessant doelwit is voor de hackers. Daarnaast is het ook nog zo dat, vooral de Linux gebruikers, het OS vaak uit een vorm van idealisme gebruiken en dat doen vanuit een bepaalde technische kennis. Dat houdt dus in dat je wat minder gemakkelijke slachtoffers kunt vinden op dat OS, omdat ze zich verdiept hebben in de technieken.

Het is een illusie dat het ene OS veel veiliger is dan het andere. Ondanks dat de ene misschien, van oorsprong een wat veiligere insteek heeft gehad dan de andere. Een hacker hoeft maar 1 lek te vinden, en een programmeur moet aan 1000-en dingen denken waar ie zich tegen moet verdedigen. Het is meer een kwestie van statistieken, kansen en gemakkelijke prooi.

Altijd die heilige oorlogen als het OS-en betreft... Ik heb daar ook ooit nog aan meegedaan in de Amiga tijd.

Ben ik ten dele met je eens; op desktop gebied is Windows veruit het meest gebruikte OS, wat servers betreft is dat Linux & daarbij zie je gewoon veel minder ernstige issues. Zoals ik al aangaf zullen de vele bugs bij Windows mede ontstaan, doordat men veel legacy meezeult. Iets waar Linux & MacOS veel minder last van hebben, aangezien beide ingrijpende upgrades in de loop vd. jaren hebben gehad & wat legacy support een andere insteek hebben, dan Windows. Begrijp mij niet verkeerd; ik ben van orgine een Windows systeembeheerder & vind het zeker niet slechter, of beter dan Linux, of MacOS (allemaal hebben ze hun voor/nadelen), maar mijn persoonlijke ervaring/observatie is gewoon dat Linux over het algemeen veiliger is dan Windows. Over MacOS kan ik niet echt een uitspraak doen, aangezien ik daar niet zoveel ervaring mee heb.

Gewoon uit interresse, maar waar uit blijkt dat Linux het meeste gebruikte OS op servers is? Meeste statestieken gaan alleen over webservers of op web aangesloten servers. Maar heel veel, zo misschien niet de meeste, servers zijn juist niet (direct) op het web aangesloten en die komen dan ook niet in deze statestieken terug. Werk zelf in een omgeving met zo'n 1000+ servers, mix van Linux en Windows, maar grootste deel daarvan hangt niet aan internet en we hebben grotere hoeveelheid Windows servers. Wat wel aan internet hangt zijn juiste de Linux servers overigens, omdat die worden ingezet voor proxy en web toepassingen.

Niet alleen de webservers, maar ook dingen als Email, DNS, tijdservers, etc
Linux heeft het grootste marktaandeel op servers. Ik ben met je eens dat een deel van de Windows-servers verborgen gaat, maar dat deel is niet genoeg om te compenseren het grote marktaandeel van Linux op de internet-backbone.

Ik moet toegeven dat ik daar geen statistieken voor heb, maar dat is het gevoel wat je krijgt als je met hosting partijen of providers te maken hebt. Vooral de interface naar buiten toe. Windows lijkt meer binnen bedrijven gebruikt te worden. Zo richt Microsoft zich met de meeste producten ook vooral op zakelijke gebruikers.

Wat specifieke bedrijfsapplicaties betreft, zoals financiele applicaties, dan zal Windows zeker in de meerderheid zijn, dat zie ik bij ons bedrijf ook, maar zodra het om zeer zware applicaties gaat, zoals ERP/CRM, etc dan zie je toch vooral Linux servers ingezet worden. Sowieso zijn grote webhosting-omgevingen zowat altijd op Linux gehost. Aan de andere kant zie ik onder systeembeheerders de laatste jaren steeds meer een verschuiving naar Linux, (al is het alleen maar door het betere patch-management). Maar goed dat laatste is alleen maar mijn observatie

Daarom had ik het over eindgebruikers. Dat blijft de zwakste schakel. Servers is een hele ander discussie en daar is Linux veruit het meest gebruikt, Al ware het vooral door de providers en hosting partijen.

Die eindgebruiker is ook de reden van die legacy. Linux gebruikers accepteren andere dingen die Windows gebruikers niet accepteren. Bijvoorbeeld dat hun geliefde software niet meer gesupport wordt vanwege ruzie tussen een aantal developers, een veranderende GUI en dat ze bij iedere install hun wachtwoord opnieuw moeten intypen, of soms zelfs naar een console moeten grijpen.

Het grootste gedeelte van Windows gebruikers wil gewoon dat het werkt, hebben totaal geen technische kennis, vinden UAE al irritant, en hun spelletje uit 1990 moet het ook nog gewoon doen. Er is ook al paniek als de GUI een klein beetje verandert. Ik denk wel dat Microsoft het grootste marktaandeel heeft omdat ze het zo gemakkelijk mogelijk (en inherent onveiliger) willen houden, maar dat heeft dus ook een keerzijde.

Dat heeft niet met het OSS verhaal te maken, maar meer met inderdaad dat de Linux kernel vanaf de grond af aan inderdaad een bepaalde visie heeft en er een stel technische puristen aan het hoofd staan. Ze hebben verder geen commercieel belang bij adaptie van een nieuwe versie.

Als die vinden dat iets niet meer kan, gaat het de prullenbak in. Microsoft ondersteunt nog allerlei meuk uit de jaren '90 omdat het gewoon te breed gedragen wordt om 'zomaar' te droppen, want dan gaan bedrijven niet over naar hun nieuwe versie.

Als je het niet kan onderbouwen dan is dat ook alleen maar luchtfietsen wat je doet.
Het feit dat je iedere keer weer hoort over Windows lekken is dat windows heel veel gebruikt wordt door iedereen en dus een gewilde aanval object is. Bij Linux heb je net zoveel fouten en lekken die elke maand worden gerepareerd. Alleen vallen de lekken niet altijd zoveel op zoals bij Windows, omdat niemand de moeite neemt om daar een virus voor te schrijven. immers een veel kleiner deel en dan ook nog eens, de mensen die Linux gebruiken zijn zich meestal goed op de hoogte van hacks and updates.

Lucht-fietsen is een term die ook past bij jouw commentaar.

Linux is zeer zeker niet zonder fouten. Het feit dat er zoveel fouten worden gerapeerd, betekent dus dat er actief naar is gezocht. Linux word echter vaker ingezet door mensen die bedreven zijn met computers en zijn voorzien van nog striktere beveiliging dan Linux standaard al heeft ingesteld. Het up-to-date houden van een gemiddelde Linux computer is meestal een stuk simpeler en minder ingrijpend dan op een Windows computer.

Daardoor is het een flink stuk moeilijker (maar zeer zeker niet onmogelijk) om er een virus of malware voor te schrijven. Zet dat af tegen relatief lage aantallen en een zeer lonende 'melk-koe' als Windows, dan is Linux voor kwaadwillenden een kostenpost die nooit genoeg op gaat brengen voor de moeite die ze erin moeten steken. De meesten zijn erop uit om geld te verdienen aan hun virus/malware. Kwaadwillenden met een specifiek doel in gedachten en gesponsord door een nationale staat, die gaan net zo hard achter Linux aan als ze zouden doen met Windows. Veresit vaak wel extra expertise die vaak niet dan wel voorhanden is.

Begrijp me goed, Windows is sinds Vista een flink stuk veiliger geworden qua opzet. Maar het is nog altijd niet op het nivo van de gemiddelde Linux installatie. Want Windows computers worden gebruikt door mensen zonder interesse of inzicht voor veiligheid die hun werk met dat systeem willen doen, terwijl Linux gebruikers vooral bestaan uit technisch onderlegde personen met intresse/inzicht voor veiligheid.
Een groot verschil.

Wat bij Linux ook flink helpt tegen virussen en wormen is juist dat er geen monocultuur is.
Het is heel erg lastig om een virus of een worm te schrijven die op elke Linux-omgeving werkt zonder user-interactie. Daarom zie je op Linux-versies vooral alleen trojan horses die de gebruiker nodig hebben.

wat jij weergeeft is een uitgebreide versie van wat ik eigenlijk zeg. met wat toevoegingen, dus nu doe ik aan luchtfietsen want ik zeg klopt niet ?

Dat lijkt zo, maar is inderdaad niet vast te stellen. Windows is het meest gebruikte OS in de wereld, waardoor aanvallers ook juist de lekken in windows gaan zoeken. Een lek in linux is veel minder interessant, een aanvaller mist de mogelijkheid om miljoenen mensen te bereiken en daarnaast kan je stellen dat linux gebruikers minder snel in bepaalde trucjes vallen gezien het meestal geen hus, tuin en -keuken gebruikers zijn. Hierdoor lijkt Windows de meeste problemen te hebben, maar het enige dat we weten is dat er veel problemen gevonden worden omdat er veel mensen naar kijken.

Windows is dat helemaal niet, alleen op de desktop.
Het meest gebruikte OS in de wereld is Linux.

En waar hebben we het hier over... juist ja, desktops.

Jij wellicht, maar het topic heeft het over o.a. Exchange dat is een server programma.
Daarnaast beweer jij dat Windows het meest gebruikte OS is, en dat is ronduit fout.

Tja als je op alles wil gaan letten dan is Android het meest gebruikte OS, en hoewel dat gebouwd is op linux heeft dat ook niks met servers of desktops te maken en is dus niet relevant. Je moet ergens een lijn trekken toch? Het maakt mn punt dat aanvallers vooral naar windows lekken zoeken iedergeval niet minder waar, want daar ging het om.

Dat de aanvallers vooral naar Windows-lekken zoeken heeft geen zak te maken met het marktaandeel van het OS.

En nou komt ie: bron? Zonder dat hebben jij noch Byron gelijk of ongelijk en is het alleen "nee je hebt het fout, het is X" en "nee het is Y".

Dit geeft al een redelijk idee: https://en.wikipedia.org/...hare_of_operating_systems
Alleen in de categorie pc's/laptops is Windows dominant, in alle andere categorieën niet.

Open source is geen garantie.
Er is ooit een fout gemaakt met Json Web Tokens, de ondertekening werd gedaan met de public key ipv de private key. ALLE implementaties, in diverse talen, namen deze fout over...
De community snapt dus onvoldoende van cyber security is de conclusie die dan over blijft.

Open source is geen garantie.
Er is ooit een fout gemaakt met Json Web Tokens, de ondertekening werd gedaan met de public key ipv de private key. ALLE implementaties, in diverse talen, namen deze fout over...
De community snapt dus onvoldoende van cyber security is de conclusie die dan over blijft.

Bovenstaande geeft aan dat jij de werking van PKI ook niet begrijpt.

De publieke sleutel is het enige waarmee de zender data die voor jou is bedoeld (digitaal) ondertekent. Jij, als ontvanger gebruikt je private key om te verifieeren dat de (digitaal) ondertekende data weer decrypt kan worden. En te decrypten, mocht er sprake zijn van data die iemand met je publieke sleutel data heeft ge-encrypt.

En nee, iets (digitaal) ondertekenen is niet hetzelfde als encryptie/decryptie. Encryptie/decryptie kan pas plaats viden nadat beide partijen publieke sleutels hebben uitgewisseld. Om die initiele uitwisseling enigzins veilig te laten verlopen, word de eerste keer dat beide partijenkunnen communiceren van (digitale) ondertekening gebruik gemaakt.

Encryptie/decryptie maakt communicatie tussen 2 partijen een stuk veiliger. Maar maakt het ook complexer, verbruikt meer computationele middelen van alle systemen en maakt de communicatie slomer.

Dus is het niet altijd de meest efficiente manier van veilig communiceren. Zeker niet als het gaat om data die als minder belangrijk word gezien. Dan is (digitale) ondertekening voldoende veilig. Van sommige data is het alleen van belang dat je zeker weet waar het vandaan komt. Waarom dan de boel onnodig vertragen?

JSON kun je gebruiken voor gestructureerde data overdracht tussen 2 partijen. Gestructureerde data overdracht van zowel belangrijke data alsmede onbelangrijke data en alles daar tussen in. Dat bij de indeling van wat belangrijke/onbelangrijke data is fouten worden gemaakt, dat is het probleem waasr jij in je post op doelde.

Conceptueel heb je ongelijk. Maar je hebt wel een punt dat niet alle code voor ondertekening/encryptie even zorgvuldig is geschreven. Of niet goed is ge-audit omdat open-source. Of zoals het gezegde al aangeeft: "het is een slechte werkman die schuld legt bij het gereedschap" ("a poor workman always blames his tools").

* edit - zelf ontdekte skreifvauten verbeterd

[Reactie gewijzigd door GeroldM op 17 november 2021 05:37]

Nog geen Windows 10 21H2? Dacht dat die deze patch ronde zou uitkomen?

Er is geen definitieve release-date vermeld, door Microsoft. Men gaf aan dat die ergens in November zou verschijnen. Normaal gesproken zit ik nooit echt te wachten op dit soort feature-updates, maar deze vind ik wel interessant ivm. WSL2 (GPU support).

Is een van deze kwetsbaarheden voor de MediaMarkt gebruikt? Ik vraag het me af.

Waarschijnlijk niet. De meeste ransomware wordt verspreid door phishingmail (of soms drive-by downloads). Dat is ook veel makkelijker en goedkoper dan (zero-day) exploits gebruiken.

Is niet zomaar te zeggen. Vooral de kwetsbaarheden in Exchange worden meestal zeer snel en veel gebruikt om ergens binnen te komen.

Dat je de payload via een phishingmail verspreidt, wilt nog niet zeggen dat de ransomware vervolgens deze zero-days niet gebruikt. Zeker een remote code execution wordt graag gebruikt door ransomware. Als je binnenkomt op een systeem van een medewerker kun je die gebruiken om op een server te komen met system rechten.

Alsnog geen fix voor KB5006670 en de niet printende fixes. Update installeren ging 3x en nu is de update vereist en kan deze niet meer verwijderd worden..

Hmmm, mijn Windows 11 toont (nog) geen updates.