Microsoft dicht 5 lekken in Windows en Office

De 4 dinsdag vrijgegeven bulletins zijn gelijk verdeeld over Windows en Office. Van de beveiligingsupdates krijgen er 3 het etiket ‘kritiek’ opgeplakt. Microsoft hanteert daarnaast een ‘exploitability index’ die aangeeft hoe groot de kans is dat een bepaalde kwetsbaarheid binnen 30 dagen wordt uitgebuit; 4 van de 5 lekken hebben het indexcijfer ‘1’, de hoogste score.

Microsoft kondigde vorige week al aan dat het reeds bekende zwakke plekken in Windows XP en Windows 7 zou repareren. De belangrijkste is een fout in het Help and Support Center van Windows XP, en tevens in Windows Server 2003. Het hulpcentrum dirigeert de gebruiker naar hulpbestanden op internet en stelt helpdesks in staat op afstand tools te starten op een pc die problemen geeft.

Een medewerker van Google ontdekte dat een fout in het hulpcentrum kwaadwillenden in staat stelt de controle over de pc over te nemen. Hij maakte zijn vondst 5 dagen na de eerste melding openbaar, compleet met voorbeeldcode, omdat Microsoft zich niet wilde vastleggen op een oplossing. Microsoft bestreed die bewering, noemde het gedrag van de Google-medewerker onverantwoordelijk maar komt nu alsnog met een patch in security bulletin MS10-042. Beveiligingsexperts adviseren XP-gebruikers met klem de stoplap zo snel mogelijk toe te passen.

De tweede update voor Windows (MS10-043) is bedoeld om een kwetsbaarheid in de 64-bits versie van Windows 7 en Windows Server 2008 R2 te herstellen. Het gaat om een probleem in de zogeheten Canonical Display Driver. Indertijd adviseerde Microsoft als lapmiddel de grafische interface Aero uit te schakelen.

De overige updates zijn bestemd voor de mailclient Outlook (MS10-045) en het databaseprogramma Access (MS10-044), allebei onderdeel van Microsoft Office. De zwakke plek in Outlook zorgt ervoor dat aanvallers hun malware kunnen vermommen als onschuldige bestanden, bijvoorbeeld tekstdocumenten, PDF-bestanden of jpeg-plaatjes. Dat maakt het riskant om vanuit Outlook welke bijlage dan ook te openen. De Access-update herstelt 2 fouten in Active X-controls waarmee aanvallers een pc in hun macht kunnen krijgen. Voor gebruikers van Office 2003 en 2007 is deze update ‘kritiek’.

Een overzicht van de op dinsdag 13 juli uitgegeven security bulletins staat op de website van Microsoft Technet.