Microsoft lost het ‘gekke slechte’ Windows Defender-lek op

Microsoft heeft snel gehandeld om de "crazy bad" Windows-kwetsbaarheid Google-beveiligingsonderzoeker Tavis Ormandy getweet ongeveer 3 dagen geleden.

Het probleem bleek een probleem te zijn met Windows Defender, dat kwetsbaar was voor automatische beschadiging omdat het zijn plicht deed om uw e-mail te scannen en van een beschermer in een aanvaller veranderde.

In hun advies schrijft Microsoft:

Microsoft geeft dit beveiligingsadvies uit om klanten te informeren dat een update van de Microsoft Malware Protection Engine een beveiligingslek verhelpt dat aan Microsoft is gemeld. De update lost een beveiligingslek op waardoor externe code kan worden uitgevoerd als de Microsoft Malware Protection Engine een speciaal vervaardigd bestand scant. Een aanvaller die misbruik weet te maken van dit beveiligingslek, kan willekeurige code uitvoeren in de beveiligingscontext van de LocalSystem-account en de controle over het systeem overnemen.

De Microsoft Malware Protection Engine wordt geleverd met verschillende antimalwareproducten van Microsoft. Zie het gedeelte Software waarin dit probleem optreedt voor een lijst met betrokken producten. Updates voor de Microsoft Malware Protection Engine worden geïnstalleerd samen met de bijgewerkte malwaredefinities voor de betrokken producten. Beheerders van bedrijfsinstallaties moeten hun vastgestelde interne processen volgen om ervoor te zorgen dat de definitie en engine-updates worden goedgekeurd in hun updatebeheersoftware en dat klanten de updates dienovereenkomstig gebruiken.

Doorgaans hoeven bedrijfsbeheerders of eindgebruikers geen actie te ondernemen om updates voor de Microsoft Malware Protection Engine te installeren, omdat het ingebouwde mechanisme voor de automatische detectie en implementatie van updates de update binnen 48 uur na release toepast. Het exacte tijdsbestek hangt af van de gebruikte software, internetverbinding en infrastructuurconfiguratie.

Zoals Ormandy waarschuwde, zou de exploit via e-mail van pc naar pc kunnen worden verzonden en een pc kunnen misbruiken zonder dat de gebruiker de e-mail zelfs maar hoeft te openen, wat betekent dat als het niet wordt gepatcht, het zich als een lopend vuurtje kan verspreiden.

De huidige versie van Windows Defender is 1.1.13701.0, waarbij Microsoft een nieuwe versie 1.1.13704.0 uitbrengt die het beveiligingslek verhelpt. Omdat de antimalware-engine van Microsoft wordt beïnvloed, wordt niet alleen Windows Defender (van Windows 7 tot Windows 10) getroffen, maar ook Microsoft Forefront Endpoint Protection 2010, Microsoft Forefront Security voor SharePoint Service Pack 3, Microsoft System Center Endpoint Protection, Microsoft Security Essentials en Windows Intune Endpoint Protection was kwetsbaar.

De update zou alle getroffen apparaten binnen 48 uur moeten bereiken.

Lees meer over het probleem bij Technet hier.