Microsoft vergat aangevallen Windows-lek twee maandenlang te melden

[Captain Kirk]

Microsoft is twee maandenlang vergeten te melden dat er een actief aangevallen kwetsbaarheid in Windows zat waarvoor het een patch had uitgebracht. Via het beveiligingslek was het mogelijk om de SmartScreen-beveiligingsfeature te omzeilen. Windows kent het Mark-of-the-Web (MOTW) toe aan bestanden die vanaf internet zijn gedownload. Bestanden worden dan van een aparte tag voorzien.

Bij het openen van bestanden met een MOTW-tag zal Windows SmartScreen een extra waarschuwing aan gebruikers tonen of ze het bestand echt willen openen, aangezien het van internet afkomstig is. Het beveiligingslek (CVE-2024-38213) zorgt ervoor dat de waarschuwing niet verschijnt. Dit beveiligingslek werd eerder dit jaar door Trend Micro aan Microsoft gerapporteerd. De virusbestrijder ontdekte in maart dat criminelen actief misbruik van de kwetsbaarheid maakten om gebruikers door middel van 'copy-paste' operaties met malware te infecteren.

Het probleem deed zich voor bij Web-based Distributed Authoring and Versioning (WebDAV). Via WebDAV is het mogelijk om bestanden op servers te bekijken en delen. De criminelen wisten gebruikers zo ver te krijgen om een bestand in een WebDAV share naar hun eigen systeem te kopieren en daarna uit te voeren. "Helaas hebben aanvallers ontdekt dat Windows niet altijd goed het Mark-of-the-Web aan bestanden toekent die via WebDAV worden aangeboden", aldus Peter Girnus van ZDI, een onderdeel van Trend Micro. Eerder dit jaar werd al een soortgelijke kwetsbaarheid ontdekt (CVE-2024-21412)

In juni kwam Microsoft met een beveiligingsupdate voor het probleem, waardoor bestanden die vanaf een WebDAV share worden gecopypastet wel een Mark-of-the-Web krijgen. Het bestaan van de kwetsbaarheid en update werden echter niet aan gebruikers gemeld. Dat gebeurde pas aflopen dinsdag, twee maanden later. Hoe het kon dat deze informatie werd vergeten laat Microsoft niet weten.

 

bron: https://www.security.nl