Microsoft repareert tijdens Patch Tuesday 103 bugs en waarschuwt voor ddos-bug

Microsoft heeft tijdens de maandelijkse Patch Tuesday 103 kwetsbaarheden gerepareerd. Drie bugs werden actief misbruikt, zegt het bedrijf. Een van die zerodays zorgde voor een nieuwe recordgrootte aan ddos-aanvallen.

Microsoft heeft KB5031354 voor Windows 11 en KB5031356 voor Windows 10 uitgebracht. Dat zijn de twee patches voor de maandelijkse Patch Tuesday-updateronde voor oktober. Volgens de patchnotes heeft Microsoft 103 kwetsbaarheden gerepareerd. Het bedrijf waarschuwt daarnaast voor twee kwetsbaarheden die bij andere fabrikanten en ontwikkelaars spelen, maar die ook Microsoft- en Windows-systemen kunnen treffen. Een daarvan is CVE-2023-5346, een typeconfusion in de V8-JavaScript-engine van Chromium die ook voorkomt in Edge dat op Chromium is gebaseerd.

De andere kwetsbaarheid is CVE-2023-44487. Dat is een kwetsbaarheid in het HTTP/2-protocol dat in veel software is ingebouwd. Die kwetsbaarheid bleek eerder deze week misbruikt te worden om gigantische ddos-aanvallen op te zetten; Google maakte deze dinsdag bekend de grootste ddos-aanval ooit te hebben afgeslagen. Die vond plaats door uitbuiting van die bug.

Dat was een van de drie zerodays die Microsoft nu opmerkt en die ook Windows-systemen kan treffen. Verder heeft Microsoft een bug in Skype for Business gerepareerd. CVE-2023-41763 is een privilege escalation waarmee aanvallers informatie konden achterhalen die niet voor hen bedoeld was. Een tweede bug is CVE-2023-36563, waarmee eveneens informatie kon worden achterhaald. Die bug zit in WordPad, waarbij het mogelijk was NTLM-hashes te stelen.

Van de 103 bugs tijdens de Patch Tuesday-fixes maakten 45 het mogelijk op afstand code uit te voeren. In 26 gevallen ging het om privilege escalations en in nog eens 17 gevallen ging het om denial-of-serviceaanvallen.

Reacties (30)

[Verwijderd]

simpele vraag, hoe krijg je als aanvaller dan deze aanvallen verstuurd naar een pc bij bijv een bedrijf? Dan heb je toch iets van firewall er nog tussen zitten en vpn verbinding voordat je op bedrijf binnen kom?

[xFeverr]

wat voor aanvallen? die DDOS? Privilege Escalation? Het artikel gaat er over meer, dus dat maakt het antwoorden wel lastig.

[Verwijderd]

Nouja die aanvallen idd waarbij de aanvaller dus code op je pc kan uitvoeren. hoe krijgen ze dat dan op je pc? hoe verbinden ze met je pc? ik kan toch niet van thuis zomaar jouw pc benaderen en dan die zero day gebruiken om code uit te voeren? ddos en privilege escalation, beide opzich

[BugBoy]

Vaak gaat dat door gebruik te maken van meerdere exploits. Stel dat je twee bugs hebt:

• Bug, waardoor je code kan uitvoeren bij het weergeven van een PNG plaatje.
• Privilege escalation bug, waardoor je admin rechten kan krijgen als je bepaalde code uitvoert.

Dan maakt een hacker een website aan met de PNG die een stuk code kan uitvoeren. In die code wordt gebruik gemaakt van de andere bug om admin rechten te verkrijgen en zodoende op je machine te komen met uitgebreide rechten.

Met die rechten kan je PC bijvoorbeeld contact opnemen met een malafide server. Op die server wordt een key aangemaakt. Vervolgens installeert men een service op je PC (want admin rechten) die op de achtergrond je PC met die key encrypt. Als alles encrypted is, dan verdwijnt de key van je PC en ben je de klos. Enkel door te betalen krijg je de key opgestuurd en kan je je PC decrypten.

Beetje simplistisch gesteld, maar zo werkt het vaak...

[Verwijderd]

Oke, maar dan vereist het nog wel een phishing mail zodat hier op de pc de png foto geladen wordt, dus volledig zonder 'medewerking' van de gebruiker lukt het niet of dat een gebruiker zelf naar een malafide websites gaat.(moet ook door je antivirus dan worden geblokt)

Daarnaast moet dus een firewall zo'n website tegen houden, en al zeker een antivirus als Bitdefender. Daarom vraag ik me af, hoe kunnen zoveel bedrijven nog gehack worden. Dan heb je toch je bewustwording sessies, phishing campagnes en spamfilter + menselijke controle niet op orde?

[Reactie gewijzigd door Verwijderd op 28 juli 2024 03:25]

[Devilscomrade]

Omdat anti-virus / malware software niet magisch alle aanvallen tegenhoud. Ze houden tegen waar ze vanaf weten.

En mensen blijven mensen; check bijvoorbeeld de laatste Transip phishing mails. Ze lijken als echt en gebruiken zelfs domein-info om de mail zo echt mogelijk te laten zijn.

[Aldy]

Ik vraag mij dan ook af of er een virus in een logo kan zitten.

[jozuf]

Er zijn ook zero click vulns.
Bv bij het inladen van een preview van een website in iets als WhatsApp wat volledig automatisch gebeurt.
En zoals al gezegd is het vaak niet 1 exploit, maar een chain die ervoor zorgt dat je gecompromised wordt.

Het laaghangend of al bekend fruit wat geblocked wordt door AV is idd niet echt een groot issue, tenminste daar is gemakkelijk wat aan te doen

[Reactie gewijzigd door jozuf op 28 juli 2024 03:25]

[nout77]

Zero clicks worden wel heel snel gepatcht vanwege het enorme risico en krijgen doorgaans ook een hoge CVE score. Nu komt het helaas wel voor dat alsnog met name mobiele devices de update laat of helemaal niet ontvangen omdat ze niet langer ondersteund worden. Gelukkig zoals bij de webp kwetsbaarheid wordt whatsapp zelf en Chrome via de playstore alsnog geupdate. Maar een ouder apparaat kan hier nog zeker kwetsbaar voor zijn.

Bij oudere apparaten is de kans op meerdere kwetsbaarheden dan ook het groots en zijn het meest vatbaar voor aanvallen.

Zorg dus voor up to date software, sterke wachtwoorden en 2fa waar mogelijk.

[BugBoy]

Ik denk dat jij een iets te rooskleurig beeld hebt van firewalls en de kunde van veel mensen. Firewalls houden lang niet alles tegen. HTTPS verkeer kan pas lokaal onderzocht worden, dus je lokale definities moeten ook up-to-date zijn. Bij zero-day exploits is dat niet het geval en dan ben je gewoon het bokje.

Daarbij kan ook een advertentieplatform gehackt worden, waardoor dit soort plaatjes gewoon verschijnen op valide websites. Stel dat ik zo'n plaatje embed in het forumpost op Tweakers, dan laad je browser dat plaatje gewoon (als je firewall het niet opmerkt). Of ik post hier een link die je interessant lijkt. Grote kans dat jij er gewoon op klikt.

Helemaal voorkomen kan je dit soort problemen niet. Door je systemen up-to-date te houden en eventueel een goede firewall en virus-scanner kan je de kans wel kleiner maken.

[gandalfdroes]

Deze gast "LoiLiangYang" heeft op youtube diverse video's waar in hij een en ander uitlegd en demonstreerd.
Daarnaast is wat ook voor en na jou gezegd wordt, mensen blijven mensen en iets dat legitiem eruit ziet of op mensen inwerkt wordt snel vertrouwd en/of door mensen opgeklikt.
Zelfs goede en bekende beveiligingsexperts/bedrijven worden wel eens gehackt, door omkoping etc.
Was laatst nog een russisch bedrijf dat 10 maal zo veel bod voor 0-days...

[flaskk]

als je een phishing campagne uitvoert zie je toch echt dat er veel eindgebruikers intrappen.

De meeste eindgebruikers zijn heel slim, maar op computer gebied vrij dom, daarnaast als "HR" een mailtje rond stuurt met "vul deze enquête in, en win een iphone 15" dan heb je zo 3/4 te pakken die daar intrappen, zelfs een kwart vult op een nep pagina haar credentials en keuren haar of zijn mfa goed terwijl die aangeeft dat deze in china zit.

[gandalfdroes]

Via RAT/malware, etc software die weer op diverse manier verspreid kunnen worden

[Verwijderd]

dat wel verzonden moet worden naar een pc in je netwerk en hoe krijg je dat voor elkaar.

Hier bijv. geen local admin rechten, dus je kan zelf niet software installeren, en downloaden lukt ook niet vanwege firewall

[gandalfdroes]

Dat kan zeker helpen om nieuwe rotzooi binnen te krijgen, maar voor iets wat al lang binnen is helpt dit niet. En sommige dingen kunnen heel lang ongedetecteerd op je systemen zitten, maar ook via updates van Microsoft of andere grote software bedrijven binnen komen als die gehackt zijn en het nog niet bekend hebben gemaakt, zoals bijvoorbeeld solarwind.

[nout77]

Vaak probeert een aanvaller per mail binnen te komen. Door een malafide link, bijlage of afbeelding mee te sturen. Niet alle systemen en gebruikers zijn vatbaar voor deze aanvallen. Maar er zijn er altijd een paar die raak zijn. Het systeem moet kwetsbaar zijn voor de gebruikte aanvalsmethode en de gebruiker moet op een 'onbewaakt' moment op de link klikken of de bijlage openen.

Soms per website die geïnfecteerde bestanden bevat, die je dan vaak zelf moet downloaden en openen. Maar in 97% van de aanvallen gebeurt dit per mail. Een enkele keer via het internet omdat een pc er rechtstreeks benaderbaar is door een mogelijk verkeerd geconfigureerde router of firewall. Servers worden wel vaker op deze wijze aangevallen. Zoals exchange server die de afgelopen jaren verschillende kwetsbaarheden bevatte.

[Verwijderd]

ah thanks, dat bevestigd dan inderdaad mijn gedachte, het kan echt niet zomaar op je pc komen. dan moet je dus wel echt klikken op een phishing mail.

mail server is zeer kwetsbaar ivm Owa die open moeten staan

[Server.1968]

Na de update werkte het netwerk niet, na pas een tweede keer opstarten werkte Windows 11 weer met netwerk. Dit op twee verschillende laptops.

[Tweakert2020]

"het netwerk" is meestal je switch/router/bekabeling, lijkt me sterkt dat dat omzeep gaat door de updates.
Je netwerkverbinding zal wellicht niet gewerkt hebben?

[Server.1968]

Ja, dat bedoelde ik ook, dank.

[Verwijderd]

heb met de update ook behoorlijk wat issues, geeft wereldbolletje aan ipv bekabeld netwerk, nog wel prima verbonden met domein, kan ook bijv gpupdate nog goed uitvoeren en kan bij veel interne spullen, internet naar buiten werkt ook, maar Outlook geen verbinding meer

[Reactie gewijzigd door Verwijderd op 28 juli 2024 03:25]

[Tusk]

Skype for business? Ik dacht dat dat al lang EOL was? nergens meer actief gebruikt wordt..

edit: rephrase

[Reactie gewijzigd door Tusk op 28 juli 2024 03:25]

[wvoet]

Skype for Business Online: Ja klopt.
SfB on-prem (2019): Nope, die wordt nog gewoon t/m oktober 2025 ondersteund.

[Doane]

Yep, ik gebruik Skype fB on-prem nog dagelijks bij een vrij forse klant.

[rneeft]

De "nieuwere" versies zijn tot januari 2024.

[Linksquest]

Ik werk als beveiliger op de COA, en daar gebruiken we ook nog altijd Skype For Business. Op Medtronic en VodafoneZiggo gebruiken we weer Teams.

[Tmaster]

Voor alle Citrix netscaler beheerders> Er zit opnieuw weer een 'major' exploit in de ADC's netscalers;
Die al zeer veel misbruik wordt. ASAP upgraden!

https://support.citrix.co...e20234966-and-cve20234967

Het NCSC heeft deze nog niet opgepakt maar dat gaat zeker komen vandaag op morgen.

EDIT ik lees dat het NCSC er al wel naar gekeken hebben maar het voor nu inschaalt op medium/high want er was nog geen POC.. .. nou die komt er snel genoeg schat ik zo in.

[Reactie gewijzigd door Tmaster op 28 juli 2024 03:25]

[hoogs]

Thanks voor de headsup!

[sambalbaj]

De manier waarop dat zoekscherm in de taakbalk na deze patchronde er ineens in stond, vond ik wel erg not done. Heel erg reclame achtig. Ja natuurlijk hun product, hun functies en keuzes maar het gaat mij vooral om de opdringerige manier waarop. Je kan het weer uitzetten maar in eerste instantie klik je die melding weg als irritante pop-up en moet je gaan zoeken.

[Pineka]

En dan gebeurt er dit:
https://answers.microsoft...18-4bf7-a411-e0f6f94acc7b