Edge

Der er blevet rapporteret om en sårbarhed i Microsoft Edge, der kan give uvedkommende mulighed for at afvikle ondsindet kode på sårbare systemer.

Microsoft Edge er en webbrowser, der er tilgængelig for Microsoft Windows-brugere.  

Afhængig af bruger-privilegier kan en angriber installere programmer, slette data og oprette nye konti med de rettigheder, der er associeret med brugeren.

Du kan se en liste over de berørte systemer via linket nedenfor.

24 ud af de 65 sårbarheder i april-rettelserne fra Microsoft er kritiske. De findes blandt andet i Internet Explorer og scripting-systemet Chakra. En af de kritiske sårbarheder findes i Microsoft Malware Protection Engine, rettelsen til den blev udsendt allerede den 3. april.

Blandt de øvrige kritiske sårbarheder er en cross-site scripting-sårbarhed i Sharepoint. Den var kendt, før rettelsen blev udsendt.

Fem af de kritiske sårbarheder i Windows ligger i Windows Font Library, der håndterer skrifttyper.

Der er sikkerhedsopdateringer til disse produkter:

Ved konkurrencen Pwn2Own 2018 har sikkerhedsforskere udnyttet hidtil ukendte sårbarheder til at afvikle skadelig programkode.

Konkurrencedeltagerne knækkede sikkerheden i Apples Safari, Microsoft Edge og Firefox. Der var også et delvis vellykket angreb på Oracle Virtualbox.

Arrangøren, Trend Micro's Zero Day Initiative (ZDI), sender nu information om sårbarhederne videre til producenterne. De har 90 dage til at lukke hullerne, før informationen bliver offentliggjort.

I alt blev der uddelt præmier for 267.000 dollars ved konkurrencen.

Marts måneds opdateringer fra Microsoft lukker 14 sikkerhedshuller, der har fået firmaets højeste risikovurdering. 59 har fået den næsthøjeste.

Alle de kritiske sårbarheder findes i browsere eller deres scripting-systemer.

Blandt de mindre kritiske sårbarheder fremhæver sikkerhedsfirmaet Cisco Talos en, der kan vise sig mere alvorlig: En angriber kan udnytte en sårbarhed i Windows Shell til at afvikle programkode. Det kræver, at offeret narres til at åbne en fil, der fx sendes som e-mail eller ligger på en webside.

I alt er der rettelser til disse produkter:

Februar måneds sikkerhedsrettelser fra Microsoft lukker 50 sikkerhedshuller. De blev udsendt om aftenen tirsdag den 13. februar.

14 af sårbarhederne har fået Microsofts højeste risikovurdering. To af dem findes i Outlook. En af dem kan udnyttes via indholdsvinduet. En angriber kan sende en mail til offeret, og hvis indholdet vises, udløses sårbarheden, og angriberens programkode kan afvikles. Offeret kan altså blive ramt uden at åbne eller klikke på noget i mailen.

Der er rettelser til følgende produkter:

Årets sidste planlagte sikkerhedsopdateringer fra Microsoft lukker 32 sikkerhedshuller, hvoraf de 19 er alvorlige. En angriber kan udnytte de alvorlige sårbarheder til at afvikle programkode på den sårbare computer.

Opdateringerne er til Internet Explorer, Edge, Windows, Office, Office Services og Web Apps, Exchange Server og ChakraCore.

Sårbarhedsfirmaet Qualys anbefaler, at man prioriterer at opdatere browserne. Ifølge Microsoft er det mest sandsynligt, at sårbarhederne i browsere og scripting-systemer som ChakraCore vil blive udnyttet i angreb.

Microsoft har fjernet 53 sårbarheder fra Internet Explorer, Edge, Windows, Office, ASP.NET, .NET og Chakra.

25 af sårbarhederne giver angribere mulighed for at afvikle skadelig programkode.

14 rettelser er til Windows. 20 sårbarheder har fået firmaets højeste risikovurdering. De findes alle i browserne Internet Explorer og/eller Edge.

Blandt rettelserne til Office-pakken er en, der lukker et hul, som har eksisteret i 17 år. Det findes i lignings-editoren.

Microsoft udsendte rettelserne i sidste uge.

Oktober måneds sikkerhedsrettelser fra Microsoft lukker 63 sikkerhedshuller i produkterne Internet Explorer, Edge, Windows, Office, Skype og ChakraCore.

Sårbarhedsfirmaet Qualys fremhæver sårbarheden CVE-2017-11826 i Office som en af de alvorligste. Hvis en angriber kan narre sit offer til at åbne et Office-dokument, kan der afvikles skadelig programkode. Angribere udnytter metoden til aktive angreb.

Den sårbarhed har Microsoft givet firmaets næsthøjeste risikovurdering. Den højeste vurdering er givet til 28 af sårbarhederne.

September måneds sikkerhedsrettelser fra Microsoft lukker 81 sikkerhedshuller, hvoraf 27 har fået firmaets højeste risikovurdering.

38 af sårbarhederne findes i Windows.

Angribere udnytter aktivt en sårbarhed i .Net Framework. Det kræver blot, at offeret kan lokkes til at åbne et skadeligt dokument eller program. Ifølge sikkerhedsfirmaet FireEye bruges den til at sprede spionprogrammet Finspy. Sårbarheden er blandt dem, Microsoft nu har fjernet.

Anbefaling

Slå automatisk opdatering til. Installer opdateringerne automatisk eller manuelt.

Sikkerhedsforsker Nicolai Grødum fra Cisco har opdaget en sårbarhed i flere browseres implementering af CSP (Content Security Policy). Formålet med CSP er at sikre, at scripts kun må afvikles fra godkendte kilder.

Sårbarheden gør, at det i nogle tilfælde er muligt at omgå CSP-reglerne. Dermed kan angribere få adgang til fortrolig information.

Google lukkede sikkerhedshullet med version 57.0.2987.98 af Chrome.

Apple lukkede det med iOS 10.3 og Safari 10.1.