Microsoft Patch dinsdag: één 0-dag; Win 7 en 8.1 krijgen de allerlaatste patches

Microsoft Patch dinsdag: één 0-dag; Win 7 en 8.1 krijgen de allerlaatste patches

Tijdstempel: 10 januari 2023 7:22 uur
Bronknooppunt: 1893812
by Paul Ducklin

Voor zover we kunnen zien, zijn er maar liefst 2874 artikelen in de Patch Tuesday-updatelijst van deze maand van Microsoft, gebaseerd op de CSV-download die we zojuist van Redmond hebben gehaald Gids voor beveiligingsupdates webpagina.

(De website zelf zegt 2283, maar de CSV-export bevatte 2875 regels, waarbij de eerste regel eigenlijk geen gegevensrecord is, maar een lijst met de verschillende veldnamen voor de rest van de regels in het bestand.)

Overduidelijk helemaal bovenaan de lijst staan ​​de namen in de Product kolom van de eerste negen vermeldingen, die te maken hebben met een EoP-patch (elevance-of-privilege) genaamd CVE-2013-21773 voor Windows 7, Windows 8.1 en Windows RT 8.1.

Windows 7 was, zoals veel mensen zich zullen herinneren, enorm populair in zijn tijd (sommigen beschouwen het zelfs nog steeds als de beste Windows ooit), en lokte uiteindelijk zelfs die-hard fans over van Windows XP toen de XP-ondersteuning stopte.

Windows 8.1, dat meer wordt herinnerd als een soort "bug-fix" -release voor het niet-geweisterde en lang geleden gedropte Windows 8 dan als een echte Windows-versie op zich, is nooit echt aangeslagen.

En Windows RT 8.1 was alles wat mensen niet leuk vonden in de reguliere versie van Windows 8.1, maar het draaide op eigen ARM-gebaseerde hardware die strikt was vergrendeld, zoals een iPhone of een iPad – niet iets dat Windows-gebruikers gewend waren, noch , te oordelen naar de reactie van de markt, iets dat veel mensen bereid waren te accepteren.

Inderdaad, dat zul je soms dit artikel lezen dat de relatieve impopulariteit van Windows 8 de reden is waarom de volgende grote release na 8.1 Windows 10 werd genoemd, waardoor opzettelijk een gevoel van scheiding werd gecreëerd tussen de oude versie en de nieuwe.

Andere verklaringen omvatten dat Windows 10 moest de volledige naam van het product zijn, zodat de 10 maakte deel uit van de gloednieuwe productnaam, in plaats van slechts een nummer te zijn dat aan de naam werd toegevoegd om een ​​versie aan te duiden. De daaropvolgende verschijning van Windows 11 zette die theorie enigszins in de war - maar er was nooit een Windows 9.

Het einde van twee tijdperken

Stort nu je tranen, want deze maand zijn de allerlaatste beveiligingsupdates voor de old-school Windows 7 en Windows 8.1-versies.

Windows 7 heeft nu het einde bereikt van de driejarige pay-extra-to-get-ESU-periode (ESU is een afkorting voor uitgebreide beveiligingsupdates), en Windows 8.1 gewoon krijgt geen uitgebreide updates, blijkbaar ongeacht hoeveel u bereid bent te betalen:

Ter herinnering: Windows 8.1 bereikt het einde van de ondersteuning op 10 januari 2023 [2023-01-10], waarna er geen technische assistentie en software-updates meer worden verstrekt. […]

Microsoft zal geen Extended Security Update (ESU)-programma voor Windows 8.1 aanbieden. Het blijven gebruiken van Windows 8.1 na 10 januari 2023 kan de blootstelling van een organisatie aan beveiligingsrisico's verhogen of het vermogen om aan nalevingsverplichtingen te voldoen, beïnvloeden.

Het is dus echt het einde van de Windows 7- en Windows 8.1-tijdperken, en alle bugs in het besturingssysteem die achterblijven op computers waarop die versies nog draaien, zullen er voor altijd zijn.

Onthoud natuurlijk dat beide platforms ondanks hun leeftijd deze maand patches hebben ontvangen voor tientallen verschillende CVE-genummerde kwetsbaarheden: 42 CVE's in het geval van Windows 7 en 48 CVE's in het geval van Windows 8.1.

Zelfs als hedendaagse dreigingsonderzoekers en cybercriminelen niet expliciet op zoek zijn naar bugs in oude Windows-builds, kunnen fouten die voor het eerst worden gevonden door aanvallers die in de allernieuwste build van Windows 11 graven, blijken te zijn geërfd van legacy-code.

In feite zijn de CVE-tellingen van 42 en 48 hierboven te vergelijken met een totaal van 90 verschillende CVE's vermeld op Microsoft's officiële Releaseopmerkingen januari 2023 pagina, wat losjes suggereert dat ongeveer de helft van de bugs van vandaag (in de lijst van deze maand hebben alle 90 CVE-2023-XXXX datumaanduidingen) al minstens een decennium wachten om gevonden te worden in Windows.

Met andere woorden, op dezelfde manier dat bugs die in oude versies zijn ontdekt, nog steeds de nieuwste en beste releases kunnen beïnvloeden, zul je ook vaak merken dat "nieuwe" bugs ver teruggaan en achteraf kunnen worden ingebouwd in exploits die werken op oude versies. Ook Windows-versies.

Ironisch genoeg zijn "nieuwe" bugs uiteindelijk gemakkelijker te exploiteren in oudere versies, vanwege de minder beperkende instellingen voor het bouwen van software en meer liberale runtime-configuraties die destijds als acceptabel werden beschouwd.

Oudere laptops met minder geheugen dan tegenwoordig waren meestal ingesteld met 32-bits versies van Windows, zelfs als ze 64-bits processors hadden. Sommige technieken voor het beperken van bedreigingen, met name technieken waarbij de locaties waar programma's in het geheugen terechtkomen, worden gerandomiseerd om de voorspelbaarheid te verminderen en exploits moeilijker betrouwbaar uit te voeren, zijn meestal minder effectief op 32-bits Windows, simpelweg omdat er minder geheugenadressen zijn kiezen uit. Net als bij verstoppertje: hoe meer mogelijke plekken om je te verstoppen, hoe langer het duurt om je te vinden.

“Uitbuiting geconstateerd”

Volgens Bleeping Computer zijn slechts twee van de kwetsbaarheden die deze maand zijn onthuld, met andere woorden, vermeld als in-the-wild. buiten bekend Microsoft en de directe onderzoeksgemeenschap:

  • CVE-2023-21674: Beveiligingslek met betrekking tot misbruik van bevoegdheden in Windows Advanced Local Procedure Call (ALPC). Verwarrend genoeg wordt deze vermeld als Openbaar gemaakt: nee, Maar Exploitatie gedetecteerd. Hieruit gaan we ervan uit dat cybercriminelen al weten hoe ze deze bug kunnen misbruiken, maar dat ze de details van de exploit zorgvuldig voor zichzelf houden, vermoedelijk om het moeilijker te maken voor degenen die op bedreigingen reageren om te weten waar ze op moeten letten op systemen die niet zijn gehackt. nog gepatcht.
  • CVE-2023-21549: Windows SMB Witness Service Beveiligingslek met betrekking tot misbruik van bevoegdheden. Deze is aangeduid Openbaar gemaakt, maar toch opgeschreven als Exploitatie minder waarschijnlijk. Hieruit leiden we af dat zelfs als iemand je vertelt waar de bug zich bevindt en hoe je deze zou kunnen activeren, het moeilijk zal zijn om erachter te komen hoe je de bug met succes kunt misbruiken en daadwerkelijk een verhoging van privileges kunt bereiken.

Het is intrigerend dat de CVE-2023-21674-bug, die actief wordt gebruikt door aanvallers, niet op de Windows 7-patchlijst staat, maar wel van toepassing is op Windows 8.1.

De tweede bug, CVE-2023-21549, beschreven als algemeen bekend, is van toepassing op zowel Windows 7 als Windows 8.1.

Zoals we hierboven al zeiden, gaan nieuw ontdekte gebreken vaak een lange weg.

CVE-2023-21674 is van toepassing vanaf Windows 8.1 tot de allernieuwste builds van Windows 11 2022H2 (H2, voor het geval je het je afvroeg, betekent "de release uitgegeven in de tweede helft van het jaar").

Nog dramatischer is dat CVE-2023-21549 rechtstreeks van toepassing is van Windows 7 tot Windows 11 2022H2.

Wat te doen met die oude computers?

Als je Windows 7- of Windows 8.1-computers hebt die je nog steeds bruikbaar en nuttig vindt, overweeg dan om over te stappen op een open source-besturingssysteem, zoals een Linux-distributie, die nog steeds zowel ondersteuning als updates krijgt.

Sommige community Linux-builds zijn gespecialiseerd in het klein en eenvoudig houden van hun distro's

Ook al hebben ze misschien niet de nieuwste en beste verzameling fotofilters, videobewerkingstools, schaakengines en achtergronden met hoge resolutie, toch zijn minimalistische distro's nog steeds geschikt om te browsen en te e-mailen, zelfs op oude 32-bits hardware met kleine harde schijven en slecht geheugen.

LEES HET SOPHOSLABS-RAPPORT OVER DE PATCHES VAN DEZE MAAND

Tijdstempel:

Meer van Naakte beveiliging