Kritieke beveiligingsupdates: Aanvallers kunnen systeemrechten verkrijgen op Windows-apparaten

Microsoft heeft verschillende beveiligingslekken in producten zoals Sharepoint, Hyper-V, Windows en Office verholpen als onderdeel van zijn December Patchday. De nieuwe updates voorkomen dat kwaadaardige code kan worden uitgevoerd op apparaten met Microsoft-software. In het bijzonder wordt een kwetsbaarheid in Windows 10/11 en Windows Server actief uitgebuit door aanvallers, waardoor gebruikers van Windows-systemen worden aangespoord om onmiddellijk actie te ondernemen.

Door de kwetsbaarheid, CVE-2024-49138 (Common Vulnerabilities and Exposures), kan een aanvaller systeemrechten krijgen. Verschillende edities van Windows 10 en 11, evenals verschillende Windows Server-versies (waaronder 2012 en 2008) zijn getroffen, en daarom is deze kwetsbaarheid geclassificeerd als een "hoog" beveiligingsrisico. Deze kwetsbaarheid kan hackers in staat stellen om systeemrechten te verkrijgen en verregaande wijzigingen en manipulaties in het besturingssysteem aan te brengen. Microsoft maakt momenteel echter geen details bekend over hoe aanvallers te werk zouden kunnen gaan.

Een andere kwetsbaarheid, CVE-2024-49112, in het Lightweight Directory Access Protocol (LDAP) is als "kritiek" beoordeeld en treft ook verschillende huidige versies van Windows en Windows Server. Volgens Microsoft (via Heise Security) moet de domeincontroller van het internet worden losgekoppeld als er momenteel geen beveiligingsupdates kunnen worden geïnstalleerd op de Windows-computer van een gebruiker. Ook over deze kwetsbaarheid is geen verdere informatie beschikbaar.

Microsoft's december patchdag verhelpt ook kwetsbaarheden in het Hyper-V virtualisatieplatform, de Office suite en de Remote Desktop Service, waarbij de meeste van deze kwetsbaarheden als "hoog" worden beoordeeld. Een gedetailleerd overzicht is te vinden in Microsofts Security Update Guide(koop het boek "Windows Security Internals: A Deep Dive into Windows Authentication, Authorization, and Auditing" bij Amazon US).