‘Kwetsbaarheden in Windows 7 en 8 worden veel later verholpen dan in Windows 10’
Microsoft verhelpt beveiligingsproblemen die aanwezig zijn in zowel Windows 7, 8 als 10 veel eerder op Windows 10 dan op oudere platformen. Cybercriminelen kunnen misbruik maken van deze vertraging en hierdoor relatief eenvoudig kwetsbaarheden vinden die zij kunnen uitbuiten.
Hiervoor waarschuwt Mateusz Jurczyk van Google’s Project Zero team in een blogpost. Microsoft zou in veel gevallen via grote updates voor Windows 10 zoals de Anniversary Update en Creator’s Update beveiligingsproblemen stilletjes verhelpen, zonder hier ruchtbaarheid aan te geven. Dezelfde kwetsbaarheden zijn in sommige gevallen echter ook aanwezig in Windows 7 en 8, terwijl de beveiligingsproblemen in deze oudere versies pas veel later of zelfs niet worden verholpen.
Voorbeeld
Als voorbeeld noemt Jurczyk een kwetsbaarheid waarbij Windows informatie uit het kernel geheugen onbedoeld toegankelijk maakt voor andere applicaties. Deze kwetsbaarheid werd door Microsoft verholpen in Windows 10, maar bleef wel aanwezig in Windows 7 en 8.1. Het beveiligingsprobleem werd pas in deze oudere versies van Windows gedicht nadat Project Zero in mei aan de bel trok bij Microsoft.
Jurczyk wijst op het risico van deze werkwijze. Zo kunnen kwaadwillenden een techniek toepassen die ’binary diffing’ wordt genoemd. Hierbij wordt gezocht naar verschillen tussen twee of meer versies van producten die dezelfde broncode gebruiken, zoals verschillende versies van het Windows besturingssysteem. Indien beveiligingsproblemen in oudere versies later worden verholpen dan in nieuwere versies, is het door de broncode te vergelijken mogelijk deze kwetsbaarheden op te sporen.
Vals gevoel van veiligheid
Google’s Project Zero team stelt dat de werkwijze van Microsoft gebruikers van Windows 7 en 8 een vals gevoel van veiligheid geven. Zij installeren immers beveiligingsupdates en hebben hierdoor het idee dat alle bekende kwetsbaarheden in hun besturingssysteem zijn gedicht. In de praktijk hoeft dit dus niet het geval te zijn.
Meer over
Lees ook
Datalek trekt CloudFlare
Gevoelige gegevens van klanten van CloudFlare zijn door een fout in de HTML-parser van CloudFlare toegankelijk geweest voor onbevoegden. Daarnaast werd de data geïndexeerd in de cache van zoekmachines. De problemen zijn inmiddels opgelost. CloudFlare meldt op zijn blog dat de problemen zijn gemeld door Tavis Ormandy, een beveiligingsonderzoeker v1
Microsoft verhelpt beveiligingsproblemen in Internet Explorer en Edge
Microsoft verhelpt een aantal kritieke beveiligingsproblemen in zijn webbrowsers in nieuwe patches. Een tweetal zero-day kwetsbaarheden waarvoor een exploit is gepubliceerd zijn echter niet gedicht. Een patch voor deze kwetsbaarheden wordt op 14 maart gelanceerd. De updates staan los van Patch Tuesday, die deze maand voor het eerst in de geschied1
Bezoekers van RSA Conference doelwit van malafide access points
Op de RSA Conference zijn meerdere malafide access points aangetroffen. Verschillende bezoekers hebben met de access points verbinding gemaakt, waardoor hun dataverkeer mogelijk is afgeluisterd. Dit heeft de leverancier van onder andere pentesting software Pwnie Express bekend gemaakt op de RSA Conference. Het bedrijf heeft op de RSA Conference a1