zoeken Nieuwsbrief
      Linkedin    Twitter   
  
nieuws
 

Vier beveiligingslekken gevonden in Microsoft Office

Advies: update uw software

17 juni 2021 - Check Point Research (CPR) dringt er bij Windows-gebruikers op aan om hun software te updaten, na de ontdekking van vier beveiligingslekken die een impact hebben op producten uit de Microsoft Office-suite, waaronder Excel en Office online. De kwetsbaarheden, die hun oorsprong vinden in verouderde code, geven hackers de mogelijkheid om code uit te voeren op doelwitten via kwaadaardige Office-documenten, zoals Word, Excel en Outlook.

- De kwaadaardige code kon worden afgeleverd via Word-documenten (.DOCX), Outlook e-mail (.EML) en de meeste Office-bestandsformaten;


- De kwetsbaarheden zijn het gevolg van verwerkingsfouten in een verouderde code in Excel95-bestandsindelingen, waardoor de onderzoekers van CPR vermoeden dat de beveiligingsfouten al enkele jaren bestaan;
- CPR heeft het probleem gemeld aan Microsoft, die vervolgens updates heeft uitgebracht: CVE-2021-31174, CVE-2021-31178, CVE-2021-31179, CVE-2021-31939.

Ontdekking
CPR ontdekte de kwetsbaarheden door zogenaamde ‘fuzzing’ van MSGraph, een component die in Microsoft Office-producten kan worden ingebed om grafieken en diagrammen weer te geven. Fuzzing is een geautomatiseerde techniek om software te testen en zo hackbare softwarebugs te vinden door willekeurig ongeldige en onverwachte gegevens in een computerprogramma in te voeren, om zo coderingsfouten en beveiligingslekken te vinden. Door deze techniek te gebruiken ontdekte CPR kwetsbare functies in MSGraph. Soortgelijke codecontroles bevestigden dat de kwetsbare functie vaak werd gebruikt in verschillende Microsoft Office-producten, zoals Excel, Office Online Server en Excel voor OSX.

Aanvalsmethode
De gevonden kwetsbaarheden kunnen worden ingebed in de meeste Office-documenten. Vandaar dat er meerdere aanvalsvectoren denkbaar zijn. Dit zou bijvoorbeeld als volgt in zijn werk kunnen gaan:
 
  • Het slachtoffer downloadt een kwaadaardig Excel bestand (XLS-formaat). Het document kan worden aangeboden via een downloadlink of een e-mail, maar de aanvaller kan het slachtoffer niet dwingen het te downloaden;
  • Het slachtoffer opent het schadelijke Excel-bestand;
  • De kwetsbaarheid wordt geactiveerd.
  • Aangezien de volledige Office-suite de mogelijkheid heeft om Excel-objecten in te bedden, verbreedt dit de aanvalsvector, waardoor het mogelijk is om een aanval uit te voeren op bijna alle Office-software, waaronder Word en Outlook.

    Updates
    CPR heeft deze onderzoeksresultaten bekendgemaakt aan Microsoft en Microsoft heeft de beveiligingslekken gepatcht, met de updates CVE-2021-31174, CVE-2021-31178, CVE-2021-31179 en CVE-2021-31939.

    Hoe gebruikers hun Windows PC kunnen updaten
     
  • Selecteer de knop ‘Start’ en selecteer vervolgens Instellingen > Bijwerken & beveiliging > Windows Update;
  • Als u handmatig wilt controleren op updates, selecteert u ‘Controleren op updates’;
  • Selecteer ‘Geavanceerde opties’, en selecteer dan onder ‘Kies hoe updates worden geïnstalleerd’ de optie ‘Automatisch’ (aanbevolen).
  • Yaniv Balmas, hoofd Cyber Research bij Check Point Software:  "De gevonden kwetsbaarheden hebben impact op bijna het gehele Microsoft Office ecosysteem. Het is mogelijk om een aanval uit te voeren op bijna alle Office-software, waaronder Word en Outlook. We hebben ontdekt dat de kwetsbaarheden te wijten zijn aan verwerkingsfouten die gemaakt zijn in een verouderde code. Een van de belangrijkste lessen uit ons onderzoek is dat een verouderde code een zwakke schakel blijft in de beveiligingsketen, vooral in complexe software zoals Microsoft Office. Hoewel we in ons onderzoek slechts vier kwetsbaarheden hebben gevonden, kunt u nooit weten hoeveel van dit soort kwetsbaarheden er nog klaarliggen om ontdekt te worden. Ik dring er bij Windows-gebruikers op aan om hun software onmiddellijk te updaten, aangezien er veel mogelijke aanvalsvectoren bestaan waarmee een hacker de door ons ontdekte kwetsbaarheden kan activeren."

    Meer informatie vindt u hier.
     

     
     Doorsturen   Reageer  

     

    Laatste nieuws

     Collega’s niet geliefd op de BBQ
     Opnieuw record aan DDoS aanvallen eerste halfjaar van 2021
     Meer dan de helft van de Nederlanders ervaart ongezond veel stress op werk
     

    Gerelateerde nieuwsitems

     Cloud-native architectuur vereist andere applicatiebeveiliging
     Privacy Android-gebruikers in gevaar door kwetsbaarheid op mobile station-modems
     COVID-19 brengt nieuwe cyberdreigingen aan het licht
     ‘Elke smartphonegebruiker moet profiteren van essentiële beveiligingsupdates’
     
     
    reacties
     
    Er zijn nog geen reacties.

    REAGEREN

    Naam:
    Emailadres:
    URL: (niet verplicht) http:// 
     
    Reactie/Opmerking:
    Ik wil bericht per e-mail ontvangen als er meer reacties op dit artikel verschijnen.
     
    Als extra controle, om er zeker van te zijn dat dit een handmatige reactie is, typ onderstaande code over in het tekstveld ernaast. Is het niet te lezen? Klik hier om de code te wijzigen.
    Een e-bike leasen: ken jij de voordelen al?
    Hoe is glasvezelinternet ontstaan en wat kan het bieden voor jouw onderneming?
    reacties
    Versoepeling maatregelen vertaalt zich in snelle groei van gewerkte uren bij niet-kantoorbanen  (2) 
    Vermogensbeheerders moeten zich richten op klantbehoefte en risicomanagement (1) 
    Kosten vermogensbeheer moeilijk te achterhalen (1) 
    Finance-afdeling belangrijker geworden door coronacrisis (1) 
    Bedrijven zijn niet goed uitgerust om de klantervaring te verbeteren (1) 
    Het nieuwe vergaderen  (1) 
    Managers hebben weinig op met personeelsfeestjes (1) 
    top10
    Versoepeling maatregelen vertaalt zich in snelle groei van gewerkte uren bij niet-kantoorbanen
    64 procent Nederlanders ergert zich aan digibeten op werk
    De geluiden die we het meest hebben gemist tijdens de pandemie
    Vakantiekriebels: nieuwe situaties brengen automobilist van slag
    Nederlander mist het ‘dagje uit gevoel’ van fysieke evenementen
    Financiën onderbelicht thema in vitaliteitsbeleid organisaties
    Gebruik werkplekken en vergaderruimtes kelderde sinds corona stevig
    Groeiende datacenterbranche levert komende jaren meer dan 5. 000 banen op
    Collega’s niet geliefd op de BBQ
    Meer dan de helft van de Nederlanders ervaart ongezond veel stress op werk
    meer top 10