Microsoft repareert tien zerodays tijdens Patch Tuesday, waarvan zes misbruikte

Microsoft heeft tijdens Patch Tuesday 89 kwetsbaarheden gerepareerd. Daarvan werden er zes al actief uitgebuit en van nog eens drie waren details bekend. Acht van de kwetsbaarheden krijgen een Kritiek-rating.

Microsoft heeft tijdens de maandelijks patchronde KB5041585 voor Windows 11 en KB5041580 voor Windows 10 uitgebracht. Daarin heeft het bedrijf een totaal van 89 kwetsbaarheden gerepareerd. Er zit een opvallend hoog aantal zerodays in de patchronde. In totaal zijn dat er tien. Het gaat onder andere om een bug in de scripting-engine van Edge, een privilege escalation in de Windows Kernel en een privilege escalation in de power dependency van Windows. Microsoft zegt dat zes van de kwetsbaarheden actief worden misbruikt, maar niet op welke manier dat gebeurt.

Daarnaast zijn er nog vier zerodays waarvan informatie bekend is, maar waarvan geen bewijs is dat er iets mee wordt gedaan. Twee daarvan hebben betrekking op Windows Downdate, een kwetsbaarheid die vorige week tijdens de BlackHat-securityconferentie werd gepresenteerd en waarmee het mogelijk is bepaalde Windows-onderdelen terug te zetten naar een oudere versie. Een van de twee bugs om dat uit te buiten is CVE-2024-38202. Daarvan zegt Microsoft dat het nog werkt aan een mitigatie, maar dat het die nog niet klaar heeft.

Van de kwetsbaarheden hebben er acht een Kritiek-rating. De Patch Tuesday-update repareert verder 28 remote code execution-bugs en 36 privilege escalations.

Reacties (42)

[Johan9711]

Weet iemand of daarmee deze error (https://www.reddit.com/r/..._this_content_presents_a/)
ook is opgelost?

[wildhagen]

Dat was wel de bedoeling:

"I am writing to inform you about the update regarding the security warning prompt issue when opening files. This issue has now been updated to include all Office apps, and an update will be deployed on Tuesday, August 13th, 2024.

Zie https://techcommunity.mic...curity/m-p/4206264/page/2

Echter, verderop in die thread op het Microsoft-forum geven mensen aan dat ze ook na het uitrollen van de patch het probleem nog altijd hebben.

Dus óf de fix is last minute toch niet meegenomen in de patch tuesday-ronde om welke reden dan ook, óf hij is wel opgenomen maar werkt niet (of niet in alle gevallen iig).

[Blokker_1999]

Het zal sowieso geen patch in Windows zijn lijkt mij, maar eerder een Office update om dit op te lossen, die worden ook vaak rond patch tuesday uitgerold, toch voor het maandelijks update kanaal. Die voor het huidig kanaal, die komen tussendoor wanneer ze beschikbaar gesteld wordt.

[arnoud_h]

Bij mij stond net ook een Office 365 patch klaar.

edit: maar... die heeft de issue niet opgelost.

[Reactie gewijzigd door arnoud_h op 14 augustus 2024 10:08]

[maevian]

waarom wachten op een update als je het zelf kan fixen via intune/GPO?

Just add https://yourcompany.sharepoint.com into the trusted sites list. You can push this with Intune and GPO if you need to make a bulk fix.

[Johan9711]

Dat is natuurlijk gewoon een ouderwetse workaround. Maar hij werkt inderdaad prima

[Hetisweergezell]

"Microsoft zegt dat zes van de kwetsbaarheden actief worden misbruikt, maar niet op welke manier dat gebeurt."

Ik ben dan wel benieuwd in hoeveel gevallen dit tot vervelende dingen heeft geleid of dat de 'hackpogingen' verderop vast liepen. En of deze systemen dan aan een botnet zijn toegevoegd of dat er gegevens zijn buitgemaakt? Het is een beetje vaag voor mij (maar dat is misschien wel de bedoeling van Microsoft om dat vaag te houden..).

[watercoolertje]

Wie zegt dat MS dat allemaal precies weet? Lijkt mij persoonlijk erg strek dat hun dat inhoudelijk (kunnen) weten wat er gebeurd nadat iemand zich toegang heeft verschaft tot een systeem dmv een hack (waar 1 of meer van die exploits bij gebruikt is)...

[Reactie gewijzigd door watercoolertje op 14 augustus 2024 08:03]

[Hetisweergezell]

Je bedoeld dat er een verschil is dat Microsoft wel kan weten dat een lek actief misbruikt wordt maar niet wat er uiteindelijk mee mogelijk is geweest? Zou kunnen hoor. Heb niet zoveel verstand van die materie. Maar vraag het me gewoon af.

[watercoolertje]

Ja uiteraard, als die code voor een exploit ergens opduikt (dmv bitdefender of andere scanners/dark web) weet je dat er code is die op een bepaalde exploit inhaakt. Maar niet perse wat er daarna gebeurd.

Als ik jou mijn login geef weet ik toch ook niet wat je ermee doet? Dus in het systeem komen en daadwerkelijk wat doen zijn gewoon 2 compleet andere zaken. De ene is enkel nodig voordat je het ander kan doen.

Ik snap ook wel dat je het wilt weten, dat is helemaal prima. Maar daarnaast suggereer je dat MS dat mogelijk bewust achterhoud. Dat lijkt me nogal overbodig als je niet eens weet of ze het weten...

[Reactie gewijzigd door watercoolertje op 14 augustus 2024 08:12]

[DigitalExorcist]

Nja toegang is één ding, maar MS audit enorm veel. Ze kunnen allicht zien wat er daarná gebeurd is, als het om benaderen van settings, data of databases of zo gaat.

[Pullen]

Dat is een mes wat aan twee kanten snijdt. Als MS zou vertellen hoe de kwetsbaarheid werkt. Kan je controleren of je systeem kwetsbaar is, maar je verteld ook aan hackers hoe ze windows kunnen exploiten. Misschien dat ze er later meer over vertellen, maar er zullen nu veel systemen niet gepatched zijn. Onderstaande is een TCP/IP remote execution vulnerability voor IPv6. Als dat aan staat is de kans groot dat je systeem kwetsbaar is.

Systems are not affected if IPv6 is disabled on the target machine.

https://msrc.microsoft.co...nerability/CVE-2024-38063

[NeverSettle]

Vanochtend updates uitgevoerd en zojuist weer een update, KB5042099, ontvangen.

[Crashed1987]

Het blijft mij echt verbazen hoe ontzettend veel kwetsbaarheden iedere maand gefixt worden.

In 2004 heeft Microsoft hun eigen Security Development Lifecycle geïntroduceerd, in 2008 gepubliceerd, en volgens hun eigen informatie volledig geintegreerd in het ontwikkelproces. https://www.microsoft.com...rityengineering/sdl/about

Nu snap ik dat hun producten vrij gecompliceerd zijn en heel uitgebreid, maar toch zou ik verwachten dat als je een lifecycle als deze al 20 jaar toe past het aantal kwetsbaarheden ook lager uit zou vallen.

Maar als we kijken naar de afgelopen maanden zijn er minimaal 332 kwetsbaarheden gefixt, waarvan 15 zero days! Vraag ik me toch af hoe goed hun eigen lifecycle wordt toegepast

nieuws: Microsoft repareert tijdens Patch Tuesday 60 kwetsbaarheden, waarvan ...
nieuws: Microsoft repareert twee zerodays en 73 bugs tijdens Patch Tuesday
nieuws: Microsoft repareert 3 zerodays en in totaal 61 bugs op Patch Tuesday
nieuws: Patch Tuesday-ronde repareert 49 bugs waaronder ernstig lek in Kerberos

[CivLord]

Windows bestaat uit duizenden componenten met miljoenen reels code. Elke fout in één regel code zou een potentiële kwetsbaarheid kunnen vormen. Het is niet zo zeer dat elke fout zelf een toegang zou kunnen vormen voor kwaadwillenden, maar dat een klein foutje aan de ene kant heel kort een klen deurtje aan de andere kant open kan zetten.
Vergelijk het met zakkenrollen. Je kan nog zo goed je tas, telefoon en portemonnee in de gaten houden, wanneer je over een losse tegel struikelt, is je aandacht net even ergens anders. En wanneer zakkenroller 1 je even afleid met een onschuldig ogend iets waardoor je die losse tegel niet ziet en daar over struikelt, kan zakkenroller 2 je tas uit je hand grissen.

Volledig foutloze code is onmogelijk zolang deze door mensen wordt geschreven. Er zijn wel hulpmiddelen om het aantal fouten te verminderen, maar ook deze zijn niet feilloos. En met elke fix introduceer je potentieel nieuwe kwetsbaarheden, of zet je andere kwetsbaarheden open, waarvan je het bestaan nog niet af weet.

[lenwar]

Het gaat onder andere om een bug in de scripting-engine van Edge

Gewoon puur uit nieuwsgierigheid: Weet iemand of dit een integraal onderdeel van het besturingssysteem is, of echt puur van Edge zelf? Ik heb zelf Edge verwijderd uit m'n Windows 11 installatie, maar het kan natuurlijk prima dat Windows zelf ook wel iets van een web-parser ingebouwd heeft zitten.

[pennywiser]

De Disney+ Windows 11 app gebruikt Edge. Kan je dan bv die nog steeds gebruiken?

[Blokker_1999]

Vele apps gebruiken de engine apart, er is een Edge Webview 2 component die je kunt installeren waarna de browserengine op je systeem staat en bijgewerkt blijft worden.

[lenwar]

Ik kan Disney+ niet installeren zonder Edge te installeren, dus ik kan/wil dat niet testen.

In Microsofts (of Disneys) goetste Nederlands:
"Voor deze app zijn Microsoft Edge vereist, die samen met deze app worden geïnstalleerd"

Maar goed. Dat zegt nog steeds niet of Windows 11 zelf ook een iets van een web-engine aan boord heeft. Dat zegt dan alleen dat specifiek Disney+ blijkbaar een volledige browser nodig heeft om z'n ding te kunnen doen. (zegt ook iets over de applicatie lijkt mij?).

N.B. Net even gekeken. Netflix heeft het ook nodig. Amazon Prime Video en Apple TV niet. Skyshowtime en HBO max hebben geen Windows 11 app.

[pennywiser]

Maar dat was wat ik wilde aangeven. Het is dus een integraal onderdeel, wat je vroeg. Je kan Edge verwijderen maar je verwijdert alleen de shell en niet de engine.

Met andere woorden, dit Edge app gebeuren is redelijk nieuw. ALS Windows al een meer native web renderer aan boord heeft/had, gaan veel apps vanaf nu natuurlijk steeds meer naar Edge verschuiven. Dat lijkt het huidige programmeer framework te worden.

Ik vind het zelf ook niet zo bezwaarlijk om het gewoon op mijn systeem te hebben staan.

[Reactie gewijzigd door pennywiser op 14 augustus 2024 09:40]

[lenwar]

Je kan Edge verwijderen maar je verwijdert alleen de shell en niet de engine.

Dan is dat toch precies een omgekeerde conclusie?

Het feit dat Disney en Netflix juist een hele Edge-instalaltie nodig hebben, doet juist suggereren dat Windows zelf dus juist niet een render-engine aan boord heeft. Anders hadden ze niet die hele Edge-installatie nodig. Dan hadden ze gewoon gebruik kunnen maken van die ingebouwde engine.

Maar het lijkt me zo sterk dat Windows intern helemaal niets heeft, maar ik kan daar dus niks van vinden.

Ik vind het zelf ook niet zo bezwaarlijk om het gewoon op mijn systeem te hebben staan.

Wat mijn probleem met Edge is, is dat hij ongevraagd toch door sommige systemen als standaardbrowser wordt gebruikt (ook al heb ik wat anders ingesteld), en dat hij, voordat je ook maar iets hebt gedaan al cookies van MSN en Bing plaatst.
Er is functioneel natuurlijk niks mis met Edge. Hij laat gewoon pagina's zien e.d., zoals iedere browser.

[pennywiser]

We bedoelen hetzelfde denk ik.

Wb Edge, mijn grootste bezwaar is dat je eerst een oerwoud aan dingen weg moet klikken, voor je hem kunt gebruiken. Ik vind dat erg onbetrouwbaar overkomen. Maar misschien doet Chrome dat wel subtieler zonder dat je iets moet klikken eerst. Ik gebruik zelf alleen Firefox.

[CivLord]

Ook handig om te weten, zit de bug in een specifieke Microsoft implementatie van deze scripting-engine, of is het onderdeel van het Chromium-framework, waardoor ook de andere op Chromium gebaseerde browsers deze bug hebben?

[forclanz]

Als je intune (bedrijfsportal) hebt als bedrijf, wanneer krijg je dan deze updates? Gezien die vertraagd zijn meestal dacht ik

[Alex3]

Zodra de updates verspreid worden vergelijken hackers de updates met de oude bestandsversies en kunnen zo de kwetsbaarheden vinden. Dat maakt het een slecht idee om dan nog te wachten met updaten.

[forclanz]

Dat is vanuit MS en of IT beheerder dicht gezet omdat je dan ook foute updates kan binnenhalen en dat voorkom je hiermee…

Maar opzich begrijp ik je punt zal er eens naar vragen

[HollowGamer]

Waarom niet gewoon dagelijks uitrollen i.p.v. elke dinsdag? Snap voor Enterprise misschien, maar vind één week of langer, tegenwoordig te lang.

Edit: sorry, ik gebruikte de verkeerde dag - bij ons was het altijd donderdag.

Het gaat zich erom dat het elke dinsdag gepatched wordt, en voor kritische lekken (als die ook misbruikt wordt) vind ik persoonlijk dat het gewoon direct gepushed moet worden. Kan dit tot downtime of problemen leiden? Ja, maar gehackt worden en daarbij persoonlijke gegevens lekken, is nog wel een graad erger.

[Reactie gewijzigd door HollowGamer op 14 augustus 2024 11:45]

[Robertdw]

Misschien nog eens nalezen wat Patch Tuesday precies inhoudt?

[CivLord]

Ja, inderdaad. Microsoft test de updates erg slecht. Daarom is het elke paar maanden groot nieuws wanneer één enkele patch (van de honderden, zo niet duizenden) op een beperkt aantal systemen onder exotische omstandigheden voor problemen zorgt. [/sarcasme]

[_JGC_]

Afgelopen halfjaar meerdere dingen:
- 2 updates die voor lsaas.exe crashes zorgen op domain controllers vanwege geheugenlekken of freezes
- een windows 2019 update die terug werd getrokken omdat het kon installeren op non-us systemen
- excel die na een update traag als stront werd

Ik wacht standaard een week voor het installeren van updates. Microsoft test hun updates niet door en door zoals ze dat vroeger deden. Tegenwoordig leunen ze veel meer op telemetry en crash reports.

[CivLord]

En over welk percentage heb je het dan, van alle uitgebrachte patches in het afgelopen half jaar? Ik denk dat elke software-ontwikkelaar zou kwijlen van een dergelijk laag percentage problemen zonder te hoeven testen.

[_JGC_]

Crashende servers door patches met regressies is productieverstorend. Als dat komt omdat men bij Microsoft niet voldoende test is dat een slechte zaak. De fix bestaat uit het deïnstalleren van de patch en wachten tot een nieuwe versie. Als ik dat kan voorkomen door een week later te patchen of na een week te besluiten dat ik het alsnog niet ga patchen doe ik dat liever dan direct de update uitrollen en de dagen erna puinruimen.

Waar om gevraagd werd was wekelijk patchen. Dan kan je een extra team klaarzetten om wekelijks elke dinsdagnacht die patch uit te rollen en de dagen erna alle regressies oplossen. Dat hebben we nu maandelijks, ik vind dat vaak genoeg.

En percentages zegt niks... kijk naar CrowdStrike een tijdje terug. Dat gaat jarenlang goed en door 1 fout die niet in de test was meegenomen crashten computers over de hele wereld waardoor schade werd geleden. Procentueel zal dat nog niet eens een tiende procent van de uitgebrachte updates zijn geweest.

[CivLord]

Maar crashen door een Microsoft patch alle gepatchte servers/ systemen, of enkel een zeer klein deel met specifieke, vaak exotische configuraties? Geen enkel testregime kan alle mogelijke configuraties onder alle mogelijke omstandigheden testen, tenzij je ergens een locatie hebt met een miljard verschillende systemen die je stuk voor stuk door iemand laat testen.

Crowdstrike was van een compleet andere orde. Daar was één algemene patch die 100% van de gepatchte systemen onklaar maakte. Dat het probleem niet nóg groter werd dan het al was, was enkel omdat de patch teruggetrokken werd voordat deze door alle mogelijke systemen was gedownload.
Hier was het inderdaad een bug op een tiende procent van alle patches, maar wel een met een brick-factor van 100%.

Maar wanneer jij maandelijks na de patchronde dagenlang bezig bent om de regressies op te lossen, zou ik eens serieus naar je systemen/ configuratie kijken. Er zit waarschijnlijk één brak element ergens dat alle problemen veroorzaakt.

[_JGC_]

Crashen van Active Directory domaincontrollers omdat er authenticatie aanvragen op binnenkomen. Dat is de taak van een AD DC lijkt me. En dat zijn geen exotische configs, dat is gewoon volgens de documentatie ingericht.

[CivLord]

Maar eeft de hele wereld daar last van, of gaat het om een handvol systemen?

[Johan9711]

Dat is altijd zo in zekere zin. InfoSec was, is en blijft altijd iets dat een balans is tussen functionaliteit en veiligheid. Aan de ene kant van het bootje hangen zorgt er voor dat de functionaliteit weg valt, en de andere kant zorgt er voor dat veiligheid niet voldoende is, wat indirect ook weer kan zorgen voor wegvallende functionaliteit.

[pbk]

Duizenden... Serieus?

[kimborntobewild]

Ik heb ze niet geteld. Misschien een beetje overdreven. In elk geval honderden.

[CivLord]

Jij als tweaker weet voor een groot deel welke functionaliteiten je niet gebruikt en welke je uit kan schakelen. En je zou ook weten welke je aan zou moeten zetten wanneer alles per default uit zou staan.
Honderden miljoenen normale gebruikers weten dat echter niet en zullen bepaalde functionaliteit missen zonder te weten hoe ze die aan moeten zetten.