Microsoft waarschuwt voor zero day-xml-lek

Microsoft heeft een waarschuwing online gezet waarin het een nog ongepatchte kwetsbaarheid beschrijft in de XML Core Services met versienummers 3.0, 4.0, 5.0 en 6.0. De softwaregigant heeft inmiddels wel een work-around uitgebracht.

Microsoft bracht dinsdag in totaal 26 patches uit voor de diverse Windows-versies. Volgens de softwaregigant waren drie van de gedichte lekken als 'kritiek' te bestempelen, waarmee wordt gedoeld op de mogelijkheid dat aanvallers ongemerkt een systeem kunnen binnendringen. Microsoft wijst onder andere op kwetsbaarheden in het Windows remote desktop protocol, terwijl er ook gaten zijn gedicht in Internet Explorer, Dynamics AX, Microsoft Lync en Microsoft .NET Framework.

De softwaregigant heeft ook een advisory uitgebracht over een gevaarlijk en nog niet gedicht lek in de Microsoft XML Core Services met versienummers 3.0, 4.0, 5.0 en 6.0, een standaardonderdeel van Windows en Office 2003 en 2007. De zero day-kwetsbaarheid kan door aanvallers via een aangepaste webpagina voor Internet Explorer-gebruikers worden benut. Microsoft kreeg de tip over het kritieke beveiligingslek op 30 mei van Google. Dat bedrijf stelt dat aanvallers het lek actief benutten via exploits.

Om dit gat toch te dichten in afwachting van een definitieve patch voor de XML Core Services, heeft Microsoft een work-around uitgebracht in de vorm van de FixIt-tool. Deze schakelt de kwetsbare xml-component uit.

Reacties (32)

[Eagle Creek]

Komt niet zo duidelijk naar voren in het bericht maar de genoemde Fix it is hier te vinden: http://support.microsoft.com/kb/2719615

Kwetsbaar zijn Windows XP, Windows Vista en Windows 7 en Windows Server 2003/2008.
Dit is ongeacht of daarop Office geïnstalleerd staat.

Kwetsbare versies van Office zijn Office 2003 en Office 2007, maar niet Office 2010. Gebruik je Office 2010 op Windows 7, ben je nog steeds kwetsbaar en dien je er goed aan de Fix it te gebruiken.

De fix it is een workaround tot de uiteindelijke security patch vrijgegeven wordt.

[Reactie gewijzigd door Eagle Creek op 27 juli 2024 15:48]

[joostverkaik]

Oftewel je bent altijd kwetsbaar? :-)

[I.R. Overclocked]

Volgens mij alleen via IE:

Door het beveiligingslek kan externe code worden uitgevoerd als een gebruiker een speciaal vervaardigde webpagina bekijkt met Internet Explorer.

Voorlopig Crome of Firefox gebruiken?

[Eagle Creek]

Met het gebruik van Firefox of Chrome neem je inderdaad een deel van het risico weg, maar het lek zelf is nog steeds aanwezig.

Zie ook http://tweakers.net/react...=Posting&ParentID=5596061

[Drunken_Bear]

oftewel je bent niet meer kwetsbaar als je de fix it gebruikt.

Hopelijk breng MS hier snel genoeg een echte patch voor.

[fanSte]

tnx, was die fix al aan t googlen

[Crazy JoJo]

De zero day-kwetsbaarheid kan door aanvallers via een aangepaste webpagina voor Internet Explorer-gebruikers worden benut.

Betekent dit dat wanneer je geen Internet Explorer gebruikt, er geen gebruik gemaakt kan worden van de exploit?

[Kosty]

Als ze zeggen dat het probleem in IE zit, dan zit het waarschijnlijk ook in het .NET WebBrowser component - waarvan andere programma's ook gebruik maken.

Ik denk niet dat "IE niet gebruiken" je volledig veilig stelt...

[Bosmonster]

Andere browsers gebruiken dat component niet.

[joostverkaik]

Maar andere Windows componenten wel.

[Dykam]

Veel .Net applicaties wel, en daar doelt Kosty op.

[Niemand_Anders]

Tenzij je een addon gebruikt als IETab.

[henk-jan]

Ook in andere browsers is het mogelijk een xml file die ergens op het internet te openen. Microsoft heeft een xml formaat xml werkblad 2003. Een xml file in dat formaat wordt door windows hekend als een excel formaat, vermoedelijk door het component met de bug. ook in firefox wordt zo'n xml bestand geopend in excel en zal vast ook gebruikt kunnen worden om kwaadaardige code te verspreiden.

[R4gnax]

En daarom stel je als browser-gebruiker altijd in dat bestanden niet zomaar geopened mogen worden in andere programma's, maar dat dat altijd eerst gevraagd moet worden.

[SvenBravo7]

Dit vraag ik mij dus ook af. Gebruik eigenlijk alleen FF en als ik dan dus geen gevaar loop dan installeer ik liever zo min mogelijk.

Thnx voor degene die hier wat duidelijkheid in schept .

Edit: vergat een "ik" .

[Reactie gewijzigd door SvenBravo7 op 27 juli 2024 15:48]

[benji83]

Zo min mogelijk installeren kan ik inkomen, maar beveiligingspatches? Kom op...

[aikebah]

Zij het dat dit geen beveiligingspatch is, maar een temporary fix die je OS tijdelijk 'mank' maakt door een component uit te schakelen, zodat je niet kwetsbaar bent zolang er nog geen beveiligingspatch is.
Desalniettemin kan ik installeren wel aanbevelen, want je bent potentieel kwetsbaar zodra je een willekeurig programma gebruikt dat de XML Core Services van microsoft gebruikt.

[Eagle Creek]

In principe heb je gelijk, maar bedenk dat IE altijd gestart kan worden zolang het geïnstalleerd staat. Dit vereist een complexere aanval maar in theorie is dat niet onmogelijk. Het grootste risico zit hem in het bezoeken van geprepareerde websites en browser als Firefox of Chrome ondervinden daar geen last van.

Applicaties die IE als onderliggende browser gebruiken, dan waarschijnlijk weer wel.

Tevens zou je dan eveneens geen Office 2003 of Office 2007 moeten gebruiken omdat die op zichzelf kwetsbaar zijn, maar dat terzijde.

[Reactie gewijzigd door Eagle Creek op 27 juli 2024 15:48]

[Jogai]

Lijkt me wel, en een makkelijke oplossing.

[appieh4ck]

Er is concurrentie tussen Google en Microsoft en toch zegt Google dat Microsoft een exploit heeft. Chapeau voor allebei de bedrijven omdat Microsoft het verbeterde en Google het niet in de doofpot stak.

[jbdeiman]

Wat ik nog meer Chapeau vind is dat Google het niet meteen wereldwijd heeft verspreid. Ze hebben Microsoft op de hoogte gebracht, een kans gegeven daar wat aan te doen en nu wordt het pas echt naar buiten gebracht, dat vind ik zeer netjes.
Het zijn wel concurrenten, maar concurreren hoeft niet ten koste van alles, je kan ook op een gezonde manier concurreren.

[QQ2]

Eens, maar dit is ook de officiele afspraak tussen beide bedrijven. Overigens had het niet veel uitgemaakt want de reden dat het google was opgevallen is omdat er al misbruik van werd gemaakt.

Maar neemt niet weg dat het fijn is om te zien dat grote bedrijven ondanks alles soms in staat zijn om als volwassenen met elkaar om te gaan

[Anoniem: 278274]

Dat was ook hoe Microsoft eerst met Apple omging, tot Jobs op een gegeven moment besloot het over een andere boeg te gooien.

[sygys]

Ik heb zojuist deze update binnen: http://support.microsoft.com/kb/2656368 is dit de update die het fixed?

[albino71]

Nee, deze http://support.microsoft.com/kb/2719615#FixItForMe

[Anoniem: 80466]

Nee, dat is een onderdeel van de maandelijkse updates.

[Ivoo2012]

Goed werk, vooral de waarschuwing alleen al !

[maevian]

Ik moet zeggen dat ik akkoord ga met wat hierboven gezegt wordt, na een jaar vol nieuwsberichten over patenten en copyrights, is het leuk om te zien dat 2 techbedrijven toch nog altijd op een volwassen manier met elkaar kunnen concureren

[SuperDre]

ofwel dit schakelt dus de XML component uit, wat dus betekend dat ineens een boel niet meer zou kunnen werken, ofwel als je XML functionaliteiten in je programma gebruikt is het heel goed mogelijk dat je klanten morgen je ineens platbellen omdat hun IT afdeling overal deze fixit heeft gedraait, en je er geen oplossing voor hebt.. Leuk....

[SWINX]

XML weer activeren en met Firefox gaan browsen tot de definitieve patch er is.

[gbrugman]

Microsoft Fix it 50897. "The Microsoft Fit it does not apply to your operating system or application version", Windows 8 Release Preview Build 8400 is kennelijk immuun voor dit lek. Gelukkig maar.