Microsoft repareert tijdens Patch Tuesday 119 bugs waarvan een misbruikte

Microsoft heeft tijdens zijn maandelijkse patchronde 119 kwetsbaarheden gerepareerd in Windows, Office en andere software. Twee van die kwetsbaarheden waren zerodays, waarvan er een actief misbruikt werd. Er werden ook 26 aparte bugs in Edge gefixt.

In totaal heeft Microsoft 119 kwetsbaarheden gefixt waarvan het in 47 gevallen ging om een local privilege escalation en in 47 andere gevallen om een mogelijkheid om van een afstand code uit te voeren. Dertien bugs maakten het mogelijk informatie uit te lezen uit delen van het systeem en in negen gevallen ging het om een denial-of-servicekwetsbaarheid. In nog eens drie gevallen kon informatie worden gespoofed.

De kwetsbaarheden worden gerepareerd in KB5012599 voor Windows 10-builds 20H2, 21H1 en 21H2 en in KB5012592 voor Windows 11. Tien van de kwetsbaarheden krijgen de rating 'Critical', omdat ze remote code executions mogelijk maken in onder andere het SMB-protocol, LDAP, het Network File System en in Hyper-V.

Van twee van de kwetsbaarheden waren al details bekend. Een van die zerodays, CVE-2022-26904, werd ontdekt door de Amerikaanse inlichtingendienst NSA en publiek bekend gemaakt. Voor zover bekend, wordt die niet actief uitgebuit. Dat gebeurde wel met CVE-2022-24521, een privilege escalation in de Windows Common Log File System Driver. Details over hoe die laatste werd uitgebuit, maakte Microsoft niet bekend.

Reacties (70)

Het SMB-protocol weer. Gatenkaas protocol is het

Hangt af van de versie. Smb v1 is inderdaad al deprecated en sterk afgeraden door MS, maar v2 en 3 zijn best secure.

Inderdaad, dus wat ik dan eigenlijk best ernstig vind is dat SMB v1 nog steeds in de laatste versies van Windows zit ingebakken. Hopelijk is het standaard uitgeschakeld, maar toch, laat die kwetsbare code er dan gewoon uit.

SMBv1 staat standaard uitgeschakeld sinds Windows 10v1709. Bij upgrades (en als je het spul handmatig aanzet) zal je OS het nog steeds kunnen gebruiken, maar als nieuwe installaties hebben dit probleem al lang niet meer.

Helaas komen er nog steeds producten op de markt, vooral in specialistische sectoren, die alleen SMBv1 spreken. Ook heb je nog oude apparaten die nooit meer updates zullen krijgen (denk aan printers!) waar het protocol nog voor nodig is. In die gevallen zijn systeembeheerders soms genoodzaakt voor sommige machines of zelfs het hele netwerk het oude protocol in te schakelen, met alle kwetsbaarheden van dien.

Dan heb je nog consumentenelectronica waarvan de helpdesk je vertelt hoe je die onzin aanzet om het probleem ook naar thuisgebruikers te verspreiden. Ik hoopte zelf dat bij Windows 11 de hele functie gewoon zou verdwijnen, maar helaas.

Ik weet niet wat de aard van de exploit is maar bij de meeste mensen staan de SMB poorten gewoon dicht van butienaf. Als de attack vector je lokale netwerk betreft is het natuurlijk een ander verhaal.

Het gaat om deze vunerabilities:
https://msrc.microsoft.co...nerability/CVE-2022-26830
https://msrc.microsoft.co...nerability/CVE-2022-24541

[Reactie gewijzigd door derkesthai op 13 april 2022 14:03]

De SMB-bug misbruikt een RPC-call, dus dat vereist een binnenkomende verbinding. Bij de meeste bedrijven staat volgens mij SMB gewoon open binnen het kantoornetwerk (al is het maar om de printer werkend te krijgen).

Ik denk dat Microsoft niet voor niets een hele handleiding heeft gemaakt om SMB veiliger te kunnen gebruiken. Van buitenaf staat de boel hopelijk dicht inderdaad, maar dat zal niet de waarschijnlijke aanvalsvector zijn voor deze exploit; wel kan het zijn dat dingen die in de cloud draaien vage netwerkconfiguraties hebben waardoor SMB wel open zou staan voor bepaalde IP-adressen.

Ja maar dan moet iemand dus sowieso toegang hebben tot het lokale netwerk. Ik zeg niet dat dat niet kan natuurlijk, maar dat maakt een eventuele exploit een stuk minder voor de hand liggend

Veel bedrijven hebben ook een guest netwerk

Ik hoop dat een gasten netwerk doorgaans ook echt een apart netwerk is en niet bij de bedrijfs(kritische) servers kan

Vast wel, dan is het stereotypisch de auditor die een printer uit plugt en in diens eigen laptop steekt. Of de service monteur voor een van die speciale machines in de productie hal. Of die gestrande collega ver weg die toch echt voor de directie presentatie op de VPN moest vanaf privé toestel. The list goes on

Dan heb je het nog steeds over (virtueel) gescheiden netwerken en kan je nog steeds de server met eventuele vunerability niet benaderen, toch?

Daar heb je 802.1x voor toch? Printer uitpluggen en iets anders inpluggen is dan geen issue. Guests in een apart vlan met alleen toegang tot internet via de firewall.

En die VPN gaat gewoon weg niet gebeuren, je laat een collega je de ppt maar via wetransfer sturen. Beveiliging is ook handhaving en mandaat, in veel gevallen ontbreekt het hieraan binnen bedrijven.

Ik mag toch hopen dat een guest netwerk op geen enkel mogelijke manier gekoppeld is met het normale kantoornetwerk

aparte VLAN's met een firewall er tussen. Fysiek scheiden met een dedicated lijn is maar in heel specifieke sectoren met een hoog veiligheidsrisico aan te raden, maar voor de overgrote meerderheid overkill

Als ik de statistieken erop na sla dan heeft een bedrijf met 1000 client computers waarschijnlijk ten minste 1 client computer met malware. Je kunt er dus vanuit gaan dat de hacker zich binnen de muren van je pand bevindt.
Ga je kijken naar targeted attacks: Hoeveel moeite kost het om als gast het pand binnen te komen en fysieke trojan op het netwerk te krijgen? Nog altijd onderrsteunen vele devices geen 802.1x, dus met een beetje zoeken vind je bij de meeste bedrijven wel een stoffige printer waarvan je de walloutlet ongemerk in gebruik kunt nemen.

Inderdaad, dus wat ik dan eigenlijk best ernstig vind is dat SMB v1 nog steeds in de laatste versies van Windows zit ingebakken.

Klagen over Windows omdat het populair is?
Staat gewoon in de documentatie, uiteraard heb je die zelf even opgezocht, eerste resultaat in Google als je op bijvoorbeeld 'SMBv1 Windows' zoekt
Microsoft's makkelijk te raadplegen documentatie hierover

Ik klaagde al over Windows voordat dat populair was
Ik doe al zeker 10 jaar niets meer met Windows, dus ik voelde niet de behoefte om iets op te gaan zoeken in de documentatie van Microsoft. Evengoed bedankt voor de informatie waarmee mijn punt blijft staan, ik vind het ernstig dat SMB v1 pas in Windows 10 definitief is uitgeschakeld terwijl al veel langer bekend is dat deze versie flink wat kwetsbaarheden bevat die nooit opgelost gaan worden.

Het heeft zo lang erin gezeten omdat veel NAS devices, printers enz (vaak op Linux gebasseerd ) van hun fabrikant al jaren geen updates meer kregen en omdat het populair is om te roepen 'omg Windows 27 ondersteunt niet eens meer mijn plotter uit 1974!!!'...
Oftewel als Microsoft het uitschakelt staan er genoeg vooraan te roepen dat het ondersteunt moet blijven en als het een optie gemaakt wordt klaag jij dat het er eerder uit moest
Vooral al 10 jaar niets met Windows doen en dan er nog over klagen is precies wat bedoeld wordt met 'populair mee klagen' ipv daadwerkelijk ermee te moeten werken en te begrijpen waarom die keuze gemaakt werd, in de bedrijfswereld moet je soms oudere apparatuur of apparatuur van waardeloze fabrikanten blijven ondersteunen, of je dan een Linux, Windows of Mac server hebt (Mac server.....) maakt weinig uit, je zal toch SMBv1 moeten blijven gebruiken. Daar kan je niet in een perfecte wereld leven waar er geen lekken zijn, hardware altijd nieuwe firmware updates krijgt en printer fabrikanten security experts zijn...

Verder heeft Windows gewoon een update mechanisme (Windows Update) en kreeg het regelmatig security updates om veel van de lekken in SMBv1 te patchen.

Wanneer had het volgens jou uitgeschakeld moeten worden? Om vervolgens het zelf direct weer aan te zetten wanneer je erachter komt dat veel teveel NAS devices en printers er nog op werken...

Je zal maar industriele apparatuur hebben in je zaak, afschrijftermijn van 10 jaar plus. Ik heb nog lasersnijders staan met Windows XP, niet omdat ik dat zo'n goed idee vindt, maar omdat de leverancier ze niet update en een nieuwe 10+ miljoen kost.

Ik vind uit, tenzij, een mooie optie voor dit soort dingen, is al een hele verbetering ten opzichte van vroeger, waar alles standaard open stond en je het zelf uit moest zetten.

er zijn ontelbaar veel sectoren met elk hun eigen scenario's waar security en het potentiële verlies ervan het niet kan halen van de continuïteit en onwil om te investeren in iets anders. Als externe partij of consultant kan je zo'n opdrachten weigeren, maar als werknemer heb je gewoon te luisteren, zelfs al weet je dat het een onveilige situatie is

Nouja dan noem je het 'wandelen' ipv klagen, is nog steeds klagen

Overigens ben ik heel benieuwd welke hoek jij dan in werkt want in elke hoek van IT speelt dit.
In een droomwereld kan je inderdaad zeggen 'vrijwel alle printers zijn onveilige ondingen met gatenkaas als drivers die keer op keer lek zijn, weg doen dat papier!' en dan doet management dat ook echt, in de echte wereld heb je het nog gewoon nodig...

Een plotter uit 1974 of een NAS zonder ondersteuning zal je in een door mij beheerde omgeving dan ook niet aantreffen

Goed, geen plotter uit '74 maar wel eentje uit 2021 die ook gewoon standaard Telnet aan heeft staan met een (bekend) fabrikant-account... Of een tapelibrary met een bekend password-algoritme...

Maar schiet maar, welke NAS apparaten ondersteun jij die geen enkel lek protocol gebruiken, vergeet je ook niet dat er nog een hele hoop meer devices in je netwerk hangen behalve een NAS?

Dan een handige tip: puur omdat de fabrikant zei dat het veilig is, betekent niet dat het daadwerkelijk veilig is... Al zo vaak gehad dat een salespersoon van Ricoh/Brother/Kyocera langs kwam en zei dat het hartstikke veilig spul was, onhackbaar enz. en dan kijk je vijf tellen op Google en zie je dat ze bekend staan om talloze backdoor/maintenance accounts, Telnet servertjes en dergelijke rommel.

Zeker met goed onderbouwde kreten als:

Het SMB-protocol is niets mis mee, het is de implementatie van Microsoft in hun Windows OS dat (blijkbaar) een gatenkaas is.

Laat je zien weinig inhoudelijk te begrijpen van de materie, ik zie je ook helemaal niet actief in IT/security hier op Tweakers?

Verschil tussen een beheerder die roept dat het veilig is en eentje die dat niet doet is dat de eerste zijn omgeving niet goed genoeg begrijpt

Oftewel, als je denkt dat jouw omgeving veilig is, dan begrijp je jouw omgeving niet goed genoeg en is het tijd je erin te verdiepen ipv nog meer onzinnige dingen te roepen/populair te klagen

<off topic>
Dit geldt ook voor je andere devices, op een Synology NAS (DSM 6.x) staat het ook standaard aan.
SMB v2 en v3 zijn ook iets sneller.
</off topic>

RGAT bedankt voor de link, kon ik even makkelijk checken of SMB v1 echt disabled was.

Standaard staat het uit en zal je het via powershell of handmatig via onderdelen moeten toevoegen. Het is meer voor dat er blijkbaar apparaten nog in gebruik zijn die alleen via SMB V1 werken.

Als iemand het over SMB v1 heeft moet ik altijd direct denken aan deze tweet van Ned Pyle, de grondlegger van SMB

Running SMB1 is like taking your grandmother to prom: she means well, but she can't really move anymore. Also, it's creepy and gross

[Reactie gewijzigd door Lagonas op 13 april 2022 13:38]

SMBv1 staat ook standaard uitgeschakeld tegenwoordig.

Ligt niet aan het protocol, maar aan de implementatie ervan.
Blijkbaar is het erg lastig om goed te implementeren, want ook Samba heeft met enige regelmaat CVE's.

Samba heeft met enige regelmaat CVE's.

Mee eens.

Het SMB-protocol is niets mis mee, het is de implementatie van Microsoft in hun Windows OS dat (blijkbaar) een gatenkaas is. Je hoort veel minder vaak over dit soort kwetsbaarheden in Samba, wat de open source implementatie van SMB is voor onder andere Linux, BSD en Solaris, maar dat kan misschien ook komen omdat dit minder vaak gebruikt wordt.

Edit: correctie, volgens @_JGC_ en @IStealYourGun vindt men best nog wel eens een kritieke bug in SMB.

[Reactie gewijzigd door rbr320 op 13 april 2022 13:22]

31 januari was er eentje gevonden in samba.

Samba heeft genoeg kritieke kwetsbaarheden gehad, die gelukkig ook weer snel gepatcht zijn; twee maanden geleden werd er een unauthenticated RCE opgelost in de compitabiliteitsmodule voor Apple's netwerkprotocol, bijvoorbeeld. De impact daarvan was relatief laag, tenzij je die module hebt aangezet, maar het kaliber was niet anders.

Ik vermoed dat de kern van het probleem hier is dat de SMB-stack een extreem complex protocol is dat een hele hoop doet, en dat ook heel snel moet doen. Je kunt prima een veilige SMB-client schrijven, maar als die veilige client niet meer dan een paarhonderd MB per seconde aan kan voor hij overbelast raakt, heb je er helemaal niks aan. Zelfs Samba heeft een kernelmodule om voldoende performance uit het systeem te trekken.

Het is onderhand wellicht een meme, maar ik denk dat veel problemen kunnen worden opgelost door veiligere programmeertalen te gebruiken voor dit soort complexe protocollen. Talen als Rust en Zig die zonder de prijs van een garbage collector uitstekende snelheid kunnen bereiken zonder per ongeluk buffer-overflowbugs te introduceren zijn bijzonder interessant in dit gebied. Andere technologieën als kernel sandboxing en user-mode kernelcomponenten kunnen ook een mooie rol spelen in het minimaliseren van de impact van een eventuele hack.

Helaas herschrijf je niet even een integraal onderdeel van je besturingssysteem, dus zal het nog wel een paar jaar duren voordat dit soort bugs verdwijnen.

Prima te gebruiken over een wireguard vpn ;-)

Je zal dit ook never nooit zomaar op het www toegankelijk moeten maken.

Zijn andere protocollen veiliger? Of zijn andere protocollen minder onderzocht en daardoor minder bekend of het kapot is?

Laten wij eerlijk zijn SMB is zo veel gebruikt dat het juist interessant is hier in te zoeken naar bugs.

Het blijft toch een kat en muisspel.

ik moet toegeven dat het mee eens ben met je reactie

De correcte spelling is matennaaiers (1 woord, dubbele 'n', iemand die maten naait)
En inhoudelijk weet ik amper hoe ik hier op moet reageren... NFS ondersteunt geen ACL (Access Control List) en geen centrale users store zoals LDAP of AD. NFS heeft dus in praktijk geen enkele waarde als file storage met zijn alles of niets strategie op basis van lokale credentials.

[Reactie gewijzigd door Vogel666 op 14 april 2022 13:03]

NFS v3 heeft gewoon users hoor.

Ik heb pro maar gebruik gewoon SMB.
Voor computers thuis durf ik wel aan op SMB te blijven.
Het is wat iemand een stukje scrollen hierboven zei. Veel zaken hebben het nodig maar ook geldt dat het vaak makkelijk -ook vanwege parate kennis- op te zetten is en er veel guides zijn voor allerlei OS'n.

NFS is ook niet iets dat thuisgebruikers nodig hebben. Is meer voor zakelijke omgevingen, powerusers en techfreaks die willen tweaken voor de leuk of om kennis op te doen over NFS.

Ik vind NFS altijd makkelijker op te zetten dan SMB. Maar ieder zijn ding. Thuis is NFS wel heel makkelijk en snel.

Ben het met je eens, je zou dit uit moeten kunnen zetten. Waar het niet dat MS de admin share voor van alles en nog wat nodig heeft. Best erg dat daardoor vitale functies niet meer werken.

Dan zit er niets anders op vm’s te segmenteren en bepaalde datastromen alleen maar tussen bepaalde vm’s toe te staan en een stepping stone te gebruiken.

In de tijd van Windows XP gebruikte ik op nieuwe installaties een registry aanpassing om de admin shares uit te zetten. Werkt dat op nieuwere versies van Windows niet meer?

Tuurlijk kan dat gewoon. Gewoon een Group Policy aanzetten, dan hoef je niet te klooien met registersleutels en is tevens de client niet in staat zich aan het beleid te ontrekken. (meedoen op basis van vrijwilligheid is in de Windows hoek zo 1999...)

Je bent wat beperkter met je toolset omdat sommige antieke beheer tools van MS nog altijd op basis van SMB werken. Maar MS biedt ook plenty alternatieve tools aan die geen SMB gebruiken als onderliggend communicatie protocol.

Is het een of één?


Microsoft repareert tijdens Patch Tuesday 119 bugs waarvan een misbruikte

Het is 'een' als men uit de context kan opmaken dat men '1' bedoelt.
Indien men uit de context niet kan opmaken dat het om '1' gaat, dan moet men 'één' schrijven.
Het is dus correct geschreven: ...'waarvan een misbruikte'...

[Reactie gewijzigd door af_bert op 13 april 2022 13:45]

Weer wat geleerd 🧐

Weer wat geleerd dank je

grammaticaal is het beide enkelvoud, dus maakt het niet uit

Krijgt de misbruikte bug ook psychologische ondersteuning?

Weer tijd voor een update zo te zien.

MS adviseert om SMB op firewalls inkomend uit te zetten.

Je bent dan ook wel onnozel van de buitencategorie als je SMB vanaf het internet open hebt staan maar ok

Dus exploiteerbaar via LAN, afgaande op het feit dat je andere apparaten niet te vertrouwen zijn. Tenzij je geen externe firewall hebt dan heb je letterlijk alles exposed en ben je sowieso niet goed bezig xD

[Reactie gewijzigd door Marctraider op 13 april 2022 17:44]

Ja uiteraard wel nog via LAN, maar het advies ging erom dat je de poort vanaf het internet dichtzet. Ik vind het… eh.. opmerkelijk 😜

MS doelt daarmee op de Windows firewall zodat het OS ook beschermd is voor aanvallen die binnen het netwerk plaatsvinden. Je hoeft deze toegang overigens niet uit te zetten, want die staat by default al uit

Nee, dat zegt MS niet.

Dit is wat MS letterlijk zegt:

https://msrc.microsoft.co...nerability/CVE-2022-24500

Mitigations

Mitigation refers to a setting, common configuration, or general best-practice, existing in a default state, that could reduce the severity of exploitation of a vulnerability. The following mitigating factors may be helpful in your situation:

1. Block TCP port 445 at the enterprise perimeter firewall

TCP port 445 is used to initiate a connection with the affected component. Blocking this port at the network perimeter firewall will help protect systems that are behind that firewall from attempts to exploit this vulnerability. This can help protect networks from attacks that originate outside the enterprise perimeter. Blocking the affected ports at the enterprise perimeter is the best defense to help avoid Internet-based attacks. However, systems could still be vulnerable to attacks from within their enterprise perimeter.

Dat gaat dus heel nadrukkelijk om de *perimeter firewall* en niet je OS-firewall op je server. En dat je dan wel beschermd bent van aanvallen vanaf het internet. Dat suggereert dus dat er écht IT'ers bestaan (god verhoedde het) die SMB vanaf het internet open zouden hebben gezet.

[Reactie gewijzigd door DigitalExorcist op 14 april 2022 13:43]

Dat suggereert dus dat er écht IT'ers bestaan (god verhoedde het) die SMB vanaf het internet open zouden hebben gezet.

Wow. ik ben een beetje sprakeloos...

Ja ik verzin het ook niet… MS zegt het écht zelf in hun documentatie.

wat een vreemde titel, bekt niet echt

[Reactie gewijzigd door zierbeek op 13 april 2022 14:44]

Tien van de kwetsbaarheden krijgen de rating 'Critical', omdat ze remote code executions mogelijk maken in onder andere het SMB-protocol, LDAP, het Network File System en in Hyper-V.

Ongelooflijk en dat allemaal in 1 maand tijd! en dat al gedurende jaren. Ook nog eens het topje van de ijsberg omdat bijna alle ontdekkingen een externe bron hebben en MS de zelf gevonden bugs intern houdt, want gesloten systeem. Dit systeem faciliteert al 95% van de ransomware gevallen. Dit systeem is een Ransomware magneet Dat kan je toch niet meer serieus inzetten in een professionele omgeving..

Heb jij een alternatief voor M365 met alles erop en eraan, qua conditional access, informatie delen, Teams, Sharepoint, Hello for Business, Defender ATP en Azure met oa. endpoint management?

Eentje waarbij je gemakshalve ook even bestaande mailomgevingen hybride kan migreren zonder enige downtime whatsoever?

[Reactie gewijzigd door DigitalExorcist op 15 april 2022 12:14]

Webapps? Waar héb je het over?? Echt, in wélk universum woon je??

https://support.microsoft...89-452c-8aca-1c009797678b

Man man man. Ik mag écht hopen dat je geen IT'er bent en dat mensen geld voor je "diensten" betalen. Want dit is écht slecht voor de hele beroepsgroep.

M365: Alle Office applicaties + Windows Enterprise licentie, Defender met alles erop en eraan, device management (MEM), Azure AD, AIP, Cloud App Security etc.

Is het nou écht zo ingewikkeld? Want wat kóóp je met een licentie? --> Juist.

[Reactie gewijzigd door DigitalExorcist op 16 april 2022 09:10]