Microsoft verhelpt aangevallen zerodays in Windows-kernel en Secure Boot

[Captain Kirk]

Tijdens de patchdinsdag van mei heeft Microsoft 38 kwetsbaarheden verholpen, waaronder twee actief aangevallen zerodaylekken. Het gaat om beveiligingslekken in de Windows-kernel en Secure Boot. De kwetsbaarheid in de kernel maakt het mogelijk voor een aanvaller die al toegang tot het systeem heeft om zijn rechten te verhogen en code met systeemrechten uit te voeren. Daardoor is het mogelijk om volledige controle over het systeem te krijgen.

Het beveiligingslek, aangeduid als CVE-2023-29336, is op zichzelf niet voldoende om een systeem op afstand over te nemen en zou met een andere kwetsbaarheid of malware op het systeem moeten worden gecombineerd. Microsoft geeft geen verdere details over de aanvallen. De zeroday was gevonden en gerapporteerd door antivirusbedrijf Avast. Ook het tweede zerodaylek, in de Secure Boot-beveiligingsfeature, was gevonden door een antivirusbedrijf.

Dit beveiligingslek, aangeduid als CVE-2023-24932, maakt het mogelijk om Secure Boot te omzeilen en wordt gebruikt door de BlackLotus-bootkit, zo ontdekten onderzoekers van virusbestrijder ESET en SentinelOne. Om dit beveiligingslek te kunnen misbruiken moet een aanvaller fysieke toegang tot de computer of hierop adminrechten hebben.

De Secure Boot-kwetsbaarheid raakt fysieke systemen en sommige virtual machines en cloudgebaseerde apparaten, alsmede Linux. Microsoft heeft met Linux-distributies samengewerkt zodat die ook een update beschikbaar kunnen stellen. Daarnaast wordt de update niet automatisch ingeschakeld, aldus Microsoft. Gebruikers moeten dit zelf doen.

Vanwege de aanpassingen voor de kwetsbaarheid moeten verschillende revocations worden toegepast, omdat computer anders niet door middel van recovery of installatiemedia zijn op te starten, tenzij deze media met de beveiligingsupdate voor het Secure Boot-lek zijn geüpdatet. Het gaat dan ook om opstartbare media zoals usb-sticks, externe schijven, network boot recovery en restore images. De update moet dan ook eerst worden toegepast en daarna pas de revocations, aldus de uitleg van Microsoft. De overige beveiligingsupdates worden deze maand wel automatisch geïnstalleerd en ingeschakeld.

 

bron: https://www.security.nl