Paint-rettelse kommer uden om Windows Update

Microsoft har rettet en alvorlig sårbarhed i Windows Paint. Fejlen kan i værste fald give en angriber mulighed for at eksekvere kode på et berørt system, og Microsoft har vurderet den til at være af betydelig alvorlighed. Det skriver The Hacker News. 

Det særlige ved denne sag er imidlertid ikke selve sårbarheden, men måden rettelsen distribueres på. Hvor mange administratorer forventer at modtage sikkerhedsopdateringer gennem Windows Update, bliver den nye Paint-version alene distribueret via Microsoft Store.

Opdateringen skal komme via Store

Sikkerhedsrettelsen findes i Paint-version 11.2609.401.0, som nu er tilgængelig gennem Microsoft Store. Tidligere på ugen pegede flere observationer på, at Store i en række lande stadig tilbød ældre versioner uden rettelsen, men den opdaterede udgave ser nu ud til at være ved at blive rullet ud bredt.

Det betyder samtidig, at organisationer ikke nødvendigvis kan antage, at deres normale patchprocesser har håndteret problemet. Miljøer, hvor Store-opdateringer er begrænsede eller ikke overvåges aktivt, kan derfor komme til at halte efter.

Forvirring om berørte versioner

Sagen kompliceres yderligere af, at forskellige kilder har angivet forskellige versionsnumre som den rettede udgave. Microsofts aktuelle sikkerhedsrådgivning peger på version 11.2609.401.0, mens oplysninger i CVE- og NVD-registreringerne fortsat kan give indtryk af, at ældre versioner allerede er beskyttet.

Der er dog ingen meldinger om aktiv udnyttelse af sårbarheden, og den optræder ikke på den amerikanske cybersikkerhedsmyndighed CISA's liste over kendt udnyttede sårbarheder.

Kræver opmærksomhed 

Microsoft Paint er i dag en såkaldt Store-app, som distribueres gennem Microsoft Store på samme måde som mange andre indbyggede Windows-programmer. Det betyder, at sikkerhedsrettelser til Paint ikke nødvendigvis følger de almindelige månedlige Windows-opdateringer.

For den enkelte bruger kræver det normalt ikke nogen handling, hvis Microsoft Store er konfigureret til automatiske opdateringer. I så fald installeres den nye version af Paint automatisk, når opdateringen når den pågældende enhed.

I mange organisationer er situationen imidlertid mere kompleks. Microsoft Store kan være begrænset, deaktiveret eller administreret centralt via værktøjer som Intune. Her er det nødvendigt at sikre, at Store-opdateringer indgår i den normale patchhåndtering, da en fuldt opdateret Windows-maskine ellers godt kan køre en sårbar version af Paint.

Netop derfor har sagen vakt opsigt blandt sikkerhedsfolk. Selvom der findes en rettelse, bliver den ikke nødvendigvis fanget af processer, der alene fokuserer på Windows Update og de månedlige sikkerhedsopdateringer.