Microsoft-beveiligingsbulletin MS09-054 - Kritiek

Met beperkende factoren wordt verwezen naar een instelling, de algehele configuratie of algemene tips voor een standaardstatus waarmee de ernst van misbruik via een beveiligingslek kan worden verminderd. De volgende beperkende factoren kunnen in uw situatie van pas komen:

• In het geval van een aanval vanaf het web kan de aanvaller beschikken over een website waarop zich een webpagina bevindt waarmee dit beveiligingslek wordt misbruikt. Daarnaast kunnen ook gemanipuleerde websites en websites waarop gegevens of advertenties staan of gegevens of advertenties kunnen worden ingevoerd, schadelijke inhoud bevatten die dit beveiligingslek kunnen misbruiken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat.
• Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.
• Dit beveiligingslek treedt niet op in Internet Explorer 8.

Microsoft heeft nog geen oplossingen voor dit beveiligingslek.

Wat is de omvang van het beveiligingslek?  
Dit beveiligingslek heeft betrekking op de uitvoering van externe code. Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Waardoor wordt het beveiligingslek veroorzaakt?  
Als Internet Explorer een speciaal ontworpen gegevensstroomheader verwerkt, kan het systeemgeheugen zodanig beschadigd raken dat een aanvaller willekeurige code kan uitvoeren.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?  
Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als een aangemelde gebruiker. Als de gebruiker met beheerdersrechten is aangemeld, kan een aanvaller die misbruik weet te maken van dit beveiligingslek, volledige controle krijgen over een systeem waarin dit probleem optreedt. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Hoe kan een aanvaller dit beveiligingslek misbruiken?  
Een aanvaller kan over een website beschikken die speciaal is ontworpen om via Internet Explorer misbruik te maken van dit lek, en vervolgens de gebruiker ertoe overhalen deze website te bekijken. De aanvaller zou ook misbruik kunnen maken van gemanipuleerde websites en websites die inhoud of advertenties van gebruikers accepteren of hosten. Deze websites kunnen speciaal vervaardigde inhoud bevatten, die misbruik van dit beveiligingslek kan maken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat. Speciaal ontworpen webinhoud kan ook worden weergegeven via banneradvertenties of andere manieren waarop webinhoud bij de kwetsbare systemen wordt afgeleverd.

Voor welke systemen vormt dit beveiligingslek het grootste risico?  
Voordat de aanvaller schadelijke acties kan uitvoeren, moet de gebruiker zijn aangemeld en een website bezoeken. Daarom lopen computers waarop e-mailberichten worden gelezen of waarop Internet Explorer regelmatig wordt gebruikt, zoals werkstations en terminalservers, het meeste risico.

Wat doet de update?  
De update wijzigt de manier waarop de gegevensstroomheaders door Internet Explorer worden verwerkt.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft heeft uit discrete bronnen informatie over dit beveiligingslek ontvangen.

Was aan Microsoft gerapporteerd dat er misbruik was gemaakt van dit beveiligingslek op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Met beperkende factoren wordt verwezen naar een instelling, de algehele configuratie of algemene tips voor een standaardstatus waarmee de ernst van misbruik via een beveiligingslek kan worden verminderd. De volgende beperkende factoren kunnen in uw situatie van pas komen:

• In het geval van een aanval vanaf het web kan de aanvaller beschikken over een website waarop zich een webpagina bevindt waarmee dit beveiligingslek wordt misbruikt. Daarnaast kunnen ook gemanipuleerde websites en websites waarop gegevens of advertenties staan of gegevens of advertenties kunnen worden ingevoerd, schadelijke inhoud bevatten die dit beveiligingslek kunnen misbruiken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat.
• Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.
• HTML-e-mailberichten worden door alle ondersteunde versies van Microsoft Outlook en Microsoft Outlook Express en Windows Mail standaard geopend in de zone Websites met beperkte toegang. De zone Websites met beperkte toegang beperkt het aantal aanvallen die dit beveiligingslek kunnen misbruiken, doordat er bij het lezen van e-mailberichten in HTML-indeling geen scripts actief worden uitgevoerd en geen ActiveX-besturingselementen meer worden gebruikt. Als een gebruiker echter op een koppeling in een e-mailbericht klikt, kan deze nog wel als gevolg van het beveiligingslek via een aanval vanaf het web worden getroffen.
• Standaard wordt Internet Explorer op Windows Server 2003 en Windows Server 2008 uitgevoerd in een beperkte modus genaamd Verbeterde beveiliging. In deze modus wordt het beveiligingsniveau voor de zone Internet ingesteld op Hoog. Dit is een beperkende factor voor websites die u niet aan de zone Vertrouwde websites van Internet Explorer hebt toegevoegd. Zie de subsectie Veelgestelde vragen van dit beveiligingslek voor meer informatie over Verbeterde beveiliging van Internet Explorer.

Tijdelijke oplossingen zijn wijzigingen in een instelling of configuratie waardoor het beveiligingslek zelf niet wordt gedicht, maar waarmee aanvalsvectoren wel worden geblokkeerd voordat u de update uitvoert. Microsoft heeft de volgende methoden en statussen om het probleem te omzeilen getest om uit te zoeken of een tijdelijke oplossing functionaliteit vermindert:

• Stel het beveiligingsniveau van de zones Het Internet en Lokaal intranet in op “Hoog” als u wilt dat u wordt gevraagd of u ActiveX-besturingselementen en actieve scripts in deze zones wilt uitvoeren

  U kunt het systeem beter tegen de gevaren van dit beveiligingslek beschermen door bepaalde instellingen voor de beveiligingszone Het Internet zodanig te wijzigen dat de gebruiker om bevestiging wordt gevraagd voordat ActiveX-besturingselementen worden uitgevoerd en scripts actief worden uitgevoerd. U kunt dit doen door de beveiliging van uw browser in te stellen op Hoog.

  Ga als volgt te werk als u het beveiligingsniveau van Internet Explorer wilt verhogen:

  1. Ga in Internet Explorer naar het menu Extra en klik op Internet-opties.
  2. Klik in het dialoogvenster Internet-opties op het tabblad Beveiliging en klik op het pictogram Internet.
  3. Verplaats de schuifregelaar bij Beveiligingsniveau voor deze zone naar Hoog. Hiermee wordt het beveiligingsniveau voor alle websites die u bezoekt, ingesteld op Hoog.

  Opmerking Klik als er geen schuifregelaar zichtbaar is, op Standaardniveau en verplaats de schuifregelaar vervolgens naar Hoog.

  Opmerking Door het niveau in te stellen op Hoog worden bepaalde websites mogelijk onjuist weergegeven. Als u problemen ervaart met het bezoeken van websites nadat u deze instelling hebt gewijzigd, en u weet zeker dat het bezoek van de desbetreffende website veilig is, kunt u die website aan uw lijst met vertrouwde websites toevoegen. Hierdoor werkt de website weer goed, zelfs met de beveiligingsinstelling Hoog.

  Gevolgen van de tijdelijke oplossing: Wanneer u wordt gevraagd om bevestiging voordat een ActiveX-besturingselement of een actief script wordt uitgevoerd, zijn de volgende punten van toepassing. Veel websites op internet of een intranet bieden extra functionaliteit dankzij ActiveX of Active Scripting. Een website van een e-commerce-bedrijf of een bank kan met ActiveX-besturingselementen bijvoorbeeld menu's, bestelformulieren of zelfs bankafschriften ter beschikking stellen. Vragen om bevestiging voordat een ActiveX-besturingselement of een actief script wordt uitgevoerd, is een algemene instelling die voor alle websites (internet en intranet) geldt. Wanneer u voor deze oplossing hebt gekozen, zal het vraagvenster veelvuldig worden weergegeven. Telkens wanneer het vraagvenster verschijnt, klikt u op Ja als u de website vertrouwt die u wilt bezoeken. Hierna worden de ActiveX-besturingselementen en actieve scripts van die website uitgevoerd. Als u niet wilt dat het vraagvenster voor al deze websites wordt weergegeven, kunt u de stappen uitvoeren die worden beschreven in de volgende paragraaf "Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer".

  Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer

  Nadat u Internet Explorer zodanig hebt ingesteld dat u wordt gevraagd om bevestiging bij het uitvoeren van ActiveX-besturingselementen en het actief uitvoeren van scripts in de zone Het Internet en de zone Lokaal intranet, kunt u al uw vertrouwde websites aan de zone Vertrouwde websites van Internet Explorer toevoegen. Op deze manier bent u beveiligd tegen aanvallen op dit beveiligingslek vanaf niet-vertrouwde websites en kunt u als altijd blijven gebruikmaken van vertrouwde websites. Het is raadzaam alleen websites die u vertrouwt aan de zone Vertrouwde websites toe te voegen.

  Voer hiertoe de volgende stappen uit:

  1. Klik op Internet-opties in het menu Extra van Internet Explorer. Klik op het tabblad Beveiliging.
  2. Klik in het vak Selecteer de zone waarvoor u beveiligingsinstellingen wilt opgeven op Vertrouwde websites en klik op Websites.
  3. Als u websites wilt toevoegen waarvoor geen gecodeerd kanaal is vereist, schakelt u het selectievakje Serververificatie (https:) voor alle websites in deze zone verplicht uit.
  4. In het vak Deze website aan de zone toevoegen typt u de URL van een website die u vertrouwt. Klik op Toevoegen.
  5. Herhaal deze stappen voor elke website die u aan de zone wilt toevoegen.
  6. Klik tweemaal op OK om de wijzigingen te accepteren en terug te keren naar Internet Explorer.

  Opmerking Als er websites zijn waarvan u niet verwacht dat daarvandaan schadelijke acties op uw systeem worden ondernomen, voegt u deze aan de vertrouwde websites toe. U kunt bijvoorbeeld de websites *.windowsupdate.microsoft.com en *.update.microsoft.com toevoegen. Dit zijn de websites waar de update is te vinden. Er is een ActiveX-besturingselement nodig om de update te kunnen installeren.

• XAML-browsertoepassingen uitschakelen in Internet Explorer

  U kunt het systeem beter beschermen tegen misbruik van dit beveiligingslek door bepaalde instellingen te wijzigen zodat u wordt gevraagd om bevestiging wanneer XAML-browsertoepassingen worden uitgevoerd. U kunt ook de optie XAML-browsertoepassingen uitvoeren uitschakelen in de beveiligingszones Het Internet en Lokaal intranet. Voer hiertoe de volgende stappen uit:

  1. Klik op Internet-opties in het menu Extra van Internet Explorer.
  2. Klik op het tabblad Beveiliging.
  3. Klik op Het Internet en klik op Aangepast niveau.
  4. Ga naar Instellingen, klik in de sectie .NET Framework onder de optie XAML-browsertoepassingen op Vragen of Uitschakelen en klik op OK.
  5. Klik op Lokaal intranet en klik op Aangepast niveau.
  6. Ga naar Instellingen, klik in de sectie .NET Framework onder de optie XAML-browsertoepassingen op Vragen of Uitschakelen en klik op OK.
  7. Klik tweemaal op OK om terug te gaan naar Internet Explorer.

  Opmerking Als u XAML-browsertoepassingen uitschakelt in de beveiligingszones Het Internet en Lokaal intranet, is het mogelijk dat sommige websites niet correct meer werken. Als u problemen ervaart met het bezoeken van websites nadat u deze instelling hebt gewijzigd, en u weet zeker dat het bezoek van de desbetreffende website veilig is, kunt u die website aan uw lijst met vertrouwde websites toevoegen. Hierdoor werkt de website weer goed.

  Gevolgen van de tijdelijke oplossing: Wanneer u vraagt om bevestiging voordat u XAML-browsertoepassingen uitvoert, zijn de volgende punten van toepassing. Veel websites op internet of een intranet bieden extra functionaliteit door het gebruik van XAML-browsertoepassingen. Een website van een e-commerce-bedrijf of een bank kan met XAML-browsertoepassingen menu's, bestelformulieren of zelfs bankafschriften ter beschikking stellen. Vragen om bevestiging voordat XAML-browsertoepassingen worden uitgevoerd, is een instelling die geldt voor alle websites (internet en intranet). Wanneer u voor deze oplossing hebt gekozen, zal het vraagvenster veelvuldig worden weergegeven. Klik telkens wanneer het vraagvenster wordt weergegeven op Ja als u de website vertrouwt die u wilt bezoeken. Hierna worden de XAML-browsertoepassingen van die website uitgevoerd. Als u niet wilt dat het vraagvenster voor al deze websites wordt weergegeven, kunt u de stappen uitvoeren die worden beschreven in de volgende paragraaf "Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer".

  Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer

  Nadat u Internet Explorer zodanig hebt ingesteld dat u wordt gevraagd om bevestiging bij het uitvoeren van XAML-browsertoepassingen in de zone Internet en de zone Lokaal intranet, kunt u al uw vertrouwde websites aan de zone Vertrouwde websites van Internet Explorer toevoegen. Op deze manier bent u beveiligd tegen aanvallen op dit beveiligingslek vanaf niet-vertrouwde websites en kunt u als altijd blijven gebruikmaken van vertrouwde websites. Het is raadzaam alleen websites die u vertrouwt aan de zone Vertrouwde websites toe te voegen.

  Voer hiertoe de volgende stappen uit:

  1. Klik op Internet-opties in het menu Extra van Internet Explorer. Klik op het tabblad Beveiliging.
  2. Klik in het vak Selecteer de zone waarvoor u beveiligingsinstellingen wilt opgeven op Vertrouwde websites en klik op Websites.
  3. Als u websites wilt toevoegen waarvoor geen gecodeerd kanaal is vereist, schakelt u het selectievakje Serververificatie (https:) voor alle websites in deze zone verplicht uit.
  4. In het vak Deze website aan de zone toevoegen typt u de URL van een website die u vertrouwt. Klik op Toevoegen.
  5. Herhaal deze stappen voor elke website die u aan de zone wilt toevoegen.
  6. Klik tweemaal op OK om de wijzigingen te accepteren en terug te keren naar Internet Explorer.

  Opmerking Als er websites zijn waarvan u niet verwacht dat daarvandaan schadelijke acties op uw systeem worden ondernomen, voegt u deze aan de vertrouwde websites toe. U kunt bijvoorbeeld de websites *.windowsupdate.microsoft.com en *.update.microsoft.com toevoegen. Dit zijn de websites waar de update is te vinden. Er is een ActiveX-besturingselement nodig om de update te kunnen installeren.

Ik gebruik Firefox. Welke update voor Internet Explorer moet ik installeren?  
Als een computersysteem is geconfigureerd voor Automatische updates, wordt de juiste update gedownload en beschikbaar gesteld voor installatie, afhankelijk van de configuratie van Automatische updates. Als een computersysteem niet is geconfigureerd voor Automatische updates, moeten gebruikers controleren welke versie van het Windows-besturingssysteem en Internet Explorer zich op hun computer bevindt en de juiste update downloaden.

Als ik deze beveiligingsupdate installeer, moet ik dan de Windows Presentation Foundation-invoegtoepassing in Firefox uitschakelen om beschermd te zijn tegen dit beveiligingslek?  
Nee. Klanten die de beveiligingsupdates van dit beveiligingsbulletin hebben geïnstalleerd, zijn beschermd tegen dit beveiligingslek.

Ik heb deze beveiligingsupdate nog niet toegepast. Hoe kan ik de Windows Presentation Foundation-invoegtoepassing uitschakelen in Firefox?  
Als u deze update nog niet hebt toegepast, kunt u de Windows Presentation Foundation-invoegtoepassing uitschakelen in Firefox om dit beveiligingslek te blokkeren. Start daarvoor Firefox-browser, selecteer het vervolgkeuzemenu Extra en klik vervolgens op Add-ons. Selecteer het pictogram Plug-ins boven aan het venster Add-ons. Selecteer Windows Presentation Foundation 3.5.30729.1 in de lijst met invoegtoepassingen en klik op Uitschakelen.

Wordt de Windows Presentation Foundation-invoegtoepassing uitgeschakeld of verwijderd als ik de .NET Framework Assistent-extensie verwijder?  
Als de .NET Framework Assistent-extensie wordt verwijderd, wordt de Windows Presentation Foundation-invoegtoepassing niet uitgeschakeld of verwijderd. De .NET Framework Assistent en Windows Presentation Foundation-invoegtoepassing worden aangestuurd door verschillende schermen in het venster voor het beheer van invoegtoepassingen van Firefox.

Wat is de omvang van het beveiligingslek?  
Dit beveiligingslek heeft betrekking op de uitvoering van externe code. Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Waardoor wordt het beveiligingslek veroorzaakt?  
Onder specifieke omstandigheden worden argumenten verkeerd door Internet Explorer gevalideerd. Hierdoor kan een speciaal vervaardigde webpagina zodanig worden weergegeven dat een aanvaller binnen de context van de aangemelde gebruiker willekeurige programmacode kan uitvoeren.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?  
Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als een aangemelde gebruiker. Als de gebruiker met beheerdersrechten is aangemeld, kan een aanvaller die misbruik weet te maken van dit beveiligingslek, volledige controle krijgen over een systeem waarin dit probleem optreedt. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Hoe kan een aanvaller dit beveiligingslek misbruiken?  
Een aanvaller kan over een website beschikken die speciaal is ontworpen om via Internet Explorer misbruik te maken van dit lek, en vervolgens de gebruiker ertoe overhalen deze website te bekijken. De aanvaller zou ook misbruik kunnen maken van gemanipuleerde websites en websites die inhoud of advertenties van gebruikers accepteren of hosten. Deze websites kunnen speciaal vervaardigde inhoud bevatten, die misbruik van dit beveiligingslek kan maken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat. Speciaal ontworpen webinhoud kan ook worden weergegeven via banneradvertenties of andere manieren waarop webinhoud bij de kwetsbare systemen wordt afgeleverd.

Voor welke systemen vormt dit beveiligingslek het grootste risico?  
Voordat de aanvaller schadelijke acties kan uitvoeren, moet de gebruiker zijn aangemeld en een website bezoeken. Daarom lopen computers waarop e-mailberichten worden gelezen of waarop Internet Explorer regelmatig wordt gebruikt, zoals werkstations en terminalservers, het meeste risico.

Internet Explorer wordt op mijn computer uitgevoerd op Windows Server 2003 en Windows Server 2008. Betekent dit dat het beveiligingslek minder problemen oplevert?  
Ja. Verbeterde beveiliging van Internet Explorer betreft een groep vooraf geconfigureerde Internet Explorer-instellingen die de kans vrij klein maken dat een gebruiker of beheerder speciaal vervaardigde webinhoud op een server downloadt en uitvoert. Dit is een beperkende factor voor websites die u niet aan de zone Vertrouwde websites van Internet Explorer hebt toegevoegd. Zie ook De verbeterde beveiliging van Internet Explorer beheren.

Wat doet de update?  
De update wijzigt de manier waarop argumenten door Internet Explorer worden gevalideerd.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Ja. Dit beveiligingslek is openbaar gemaakt. Aan dit beveiligingslek is nummer CVE-2009-2529 toegewezen.

Was aan Microsoft gerapporteerd dat er misbruik was gemaakt van dit beveiligingslek op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Met beperkende factoren wordt verwezen naar een instelling, de algehele configuratie of algemene tips voor een standaardstatus waarmee de ernst van misbruik via een beveiligingslek kan worden verminderd. De volgende beperkende factoren kunnen in uw situatie van pas komen:

• In het geval van een aanval vanaf het web kan de aanvaller beschikken over een website waarop zich een webpagina bevindt waarmee dit beveiligingslek wordt misbruikt. Daarnaast kunnen ook gemanipuleerde websites en websites waarop gegevens of advertenties staan of gegevens of advertenties kunnen worden ingevoerd, schadelijke inhoud bevatten die dit beveiligingslek kunnen misbruiken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat.
• Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.
• HTML-e-mailberichten worden door alle ondersteunde versies van Microsoft Outlook en Microsoft Outlook Express en Windows Mail standaard geopend in de zone Websites met beperkte toegang. De zone Websites met beperkte toegang beperkt het aantal aanvallen die dit beveiligingslek kunnen misbruiken, doordat er bij het lezen van e-mailberichten in HTML-indeling geen scripts actief worden uitgevoerd en geen ActiveX-besturingselementen meer worden gebruikt. Als een gebruiker echter op een koppeling in een e-mailbericht klikt, kan deze nog wel als gevolg van het beveiligingslek via een aanval vanaf het web worden getroffen.
• Standaard wordt Internet Explorer op Windows Server 2003 en Windows Server 2008 uitgevoerd in een beperkte modus genaamd Verbeterde beveiliging. In deze modus wordt het beveiligingsniveau voor de zone Internet ingesteld op Hoog. Dit is een beperkende factor voor websites die u niet aan de zone Vertrouwde websites van Internet Explorer hebt toegevoegd. Zie de subsectie Veelgestelde vragen van dit beveiligingslek voor meer informatie over Verbeterde beveiliging van Internet Explorer.

Tijdelijke oplossingen zijn wijzigingen in een instelling of configuratie waardoor het beveiligingslek zelf niet wordt gedicht, maar waarmee aanvalsvectoren wel worden geblokkeerd voordat u de update uitvoert. Microsoft heeft de volgende methoden en statussen om het probleem te omzeilen getest om uit te zoeken of een tijdelijke oplossing functionaliteit vermindert:

• Stel het beveiligingsniveau van de zones Het Internet en Lokaal intranet in op “Hoog” als u wilt dat u wordt gevraagd of u ActiveX-besturingselementen en actieve scripts in deze zones wilt uitvoeren

  U kunt het systeem beter tegen de gevaren van dit beveiligingslek beschermen door bepaalde instellingen voor de beveiligingszone Het Internet zodanig te wijzigen dat de gebruiker om bevestiging wordt gevraagd voordat ActiveX-besturingselementen worden uitgevoerd en scripts actief worden uitgevoerd. U kunt dit doen door de beveiliging van uw browser in te stellen op Hoog.

  Ga als volgt te werk als u het beveiligingsniveau van Internet Explorer wilt verhogen:

  1. Ga in Internet Explorer naar het menu Extra en klik op Internet-opties.
  2. Klik in het dialoogvenster Internet-opties op het tabblad Beveiliging en klik op het pictogram Internet.
  3. Verplaats de schuifregelaar bij Beveiligingsniveau voor deze zone naar Hoog. Hiermee wordt het beveiligingsniveau voor alle websites die u bezoekt, ingesteld op Hoog.

  Opmerking Klik als er geen schuifregelaar zichtbaar is, op Standaardniveau en verplaats de schuifregelaar vervolgens naar Hoog.

  Opmerking Door het niveau in te stellen op Hoog worden bepaalde websites mogelijk onjuist weergegeven. Als u problemen ervaart met het bezoeken van websites nadat u deze instelling hebt gewijzigd, en u weet zeker dat het bezoek van de desbetreffende website veilig is, kunt u die website aan uw lijst met vertrouwde websites toevoegen. Hierdoor werkt de website weer goed, zelfs met de beveiligingsinstelling Hoog.

  Gevolgen van de tijdelijke oplossing: Wanneer u wordt gevraagd om bevestiging voordat een ActiveX-besturingselement of een actief script wordt uitgevoerd, zijn de volgende punten van toepassing. Veel websites op internet of een intranet bieden extra functionaliteit dankzij ActiveX of Active Scripting. Een website van een e-commerce-bedrijf of een bank kan met ActiveX-besturingselementen bijvoorbeeld menu's, bestelformulieren of zelfs bankafschriften ter beschikking stellen. Vragen om bevestiging voordat een ActiveX-besturingselement of een actief script wordt uitgevoerd, is een algemene instelling die voor alle websites (internet en intranet) geldt. Wanneer u voor deze oplossing hebt gekozen, zal het vraagvenster veelvuldig worden weergegeven. Telkens wanneer het vraagvenster verschijnt, klikt u op Ja als u de website vertrouwt die u wilt bezoeken. Hierna worden de ActiveX-besturingselementen en actieve scripts van die website uitgevoerd. Als u niet wilt dat het vraagvenster voor al deze websites wordt weergegeven, kunt u de stappen uitvoeren die worden beschreven in de volgende paragraaf "Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer".

  Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer

  Nadat u Internet Explorer zodanig hebt ingesteld dat u wordt gevraagd om bevestiging bij het uitvoeren van ActiveX-besturingselementen en het actief uitvoeren van scripts in de zone Het Internet en de zone Lokaal intranet, kunt u al uw vertrouwde websites aan de zone Vertrouwde websites van Internet Explorer toevoegen. Op deze manier bent u beveiligd tegen aanvallen op dit beveiligingslek vanaf niet-vertrouwde websites en kunt u als altijd blijven gebruikmaken van vertrouwde websites. Het is raadzaam alleen websites die u vertrouwt aan de zone Vertrouwde websites toe te voegen.

  Voer hiertoe de volgende stappen uit:

  1. Klik op Internet-opties in het menu Extra van Internet Explorer. Klik op het tabblad Beveiliging.
  2. Klik in het vak Selecteer de zone waarvoor u beveiligingsinstellingen wilt opgeven op Vertrouwde websites en klik op Websites.
  3. Als u websites wilt toevoegen waarvoor geen gecodeerd kanaal is vereist, schakelt u het selectievakje Serververificatie (https:) voor alle websites in deze zone verplicht uit.
  4. In het vak Deze website aan de zone toevoegen typt u de URL van een website die u vertrouwt. Klik op Toevoegen.
  5. Herhaal deze stappen voor elke website die u aan de zone wilt toevoegen.
  6. Klik tweemaal op OK om de wijzigingen te accepteren en terug te keren naar Internet Explorer.

  Opmerking Als er websites zijn waarvan u niet verwacht dat daarvandaan schadelijke acties op uw systeem worden ondernomen, voegt u deze aan de vertrouwde websites toe. U kunt bijvoorbeeld de websites *.windowsupdate.microsoft.com en *.update.microsoft.com toevoegen. Dit zijn de websites waar de update is te vinden. Er is een ActiveX-besturingselement nodig om de update te kunnen installeren.

• Stel Internet Explorer zodanig in dat u wordt gevraagd of u actieve scripts wilt uitvoeren, of schakel de optie Actief uitvoeren van scripts uit voor de beveiligingszones Het Internet en Lokaal intranet

  U kunt het systeem beter beschermen tegen misbruik van dit beveiligingslek door bepaalde instellingen te wijzigen zodat u wordt gevraagd om bevestiging voordat scripts actief worden uitgevoerd. U kunt ook de optie Actief uitvoeren van scripts uitschakelen in de beveiligingszones Het Internet en Lokaal intranet. Voer hiertoe de volgende stappen uit:

  1. Klik op Internet-opties in het menu Extra van Internet Explorer.
  2. Klik op het tabblad Beveiliging.
  3. Klik op Het Internet en klik op Aangepast niveau.
  4. Ga naar Instellingen, klik in de sectie Uitvoeren van scripts onder de optie Actief uitvoeren van scripts op Vragen of Uitschakelen en klik op OK.
  5. Klik op Lokaal intranet en klik op Aangepast niveau.
  6. Ga naar Instellingen, klik in de sectie Uitvoeren van scripts onder de optie Actief uitvoeren van scripts op Vragen of Uitschakelen en klik op OK.
  7. Klik tweemaal op OK om terug te gaan naar Internet Explorer.

  Opmerking Als u Actief uitvoeren van scripts uitschakelt in de beveiligingszones Het Internet en Lokaal intranet, is het mogelijk dat sommige websites niet correct werken. Als u problemen ervaart met het bezoeken van websites nadat u deze instelling hebt gewijzigd, en u weet zeker dat het bezoek van de desbetreffende website veilig is, kunt u die website aan uw lijst met vertrouwde websites toevoegen. Hierdoor werkt de website weer goed.

  Gevolgen van de tijdelijke oplossing: Wanneer u vraagt om bevestiging voordat u Active Scripting uitvoert, zijn de volgende punten van toepassing. Veel websites op internet of een intranet bieden extra functionaliteit dankzij de technologie voor actieve scripts. Een website van een e-commerce-bedrijf of een bank kan met de optie Actief uitvoeren van scripts menu's, bestelformulieren of zelfs bankafschriften ter beschikking stellen. Vragen om bevestiging voordat actieve scripts worden uitgevoerd, is een instelling die geldt voor alle websites (internet en intranet). Wanneer u voor deze oplossing hebt gekozen, zal het vraagvenster veelvuldig worden weergegeven. Telkens wanneer het vraagvenster verschijnt, dient u op Ja te klikken als u de website vertrouwt die u wilt bezoeken. Hierna worden de actieve scripts van die website uitgevoerd. Als u niet wilt dat het vraagvenster voor al deze websites wordt weergegeven, kunt u de stappen uitvoeren die worden beschreven in de volgende paragraaf "Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer".

  Vertrouwde websites toevoegen aan de zone Vertrouwde websites in Internet Explorer

  Nadat u Internet Explorer zodanig hebt ingesteld dat u wordt gevraagd om bevestiging bij het uitvoeren van ActiveX-besturingselementen en het actief uitvoeren van scripts in de zone Het Internet en de zone Lokaal intranet, kunt u al uw vertrouwde websites aan de zone Vertrouwde websites van Internet Explorer toevoegen. Op deze manier bent u beveiligd tegen aanvallen op dit beveiligingslek vanaf niet-vertrouwde websites en kunt u als altijd blijven gebruikmaken van vertrouwde websites. Het is raadzaam alleen websites die u vertrouwt aan de zone Vertrouwde websites toe te voegen.

  Voer hiertoe de volgende stappen uit:

  1. Klik op Internet-opties in het menu Extra van Internet Explorer. Klik op het tabblad Beveiliging.
  2. Klik in het vak Selecteer de zone waarvoor u beveiligingsinstellingen wilt opgeven op Vertrouwde websites en klik op Websites.
  3. Als u websites wilt toevoegen waarvoor geen gecodeerd kanaal is vereist, schakelt u het selectievakje Serververificatie (https:) voor alle websites in deze zone verplicht uit.
  4. In het vak Deze website aan de zone toevoegen typt u de URL van een website die u vertrouwt. Klik op Toevoegen.
  5. Herhaal deze stappen voor elke website die u aan de zone wilt toevoegen.
  6. Klik tweemaal op OK om de wijzigingen te accepteren en terug te keren naar Internet Explorer.

  Opmerking Als er websites zijn waarvan u niet verwacht dat daarvandaan schadelijke acties op uw systeem worden ondernomen, voegt u deze aan de vertrouwde websites toe. U kunt bijvoorbeeld de websites *.windowsupdate.microsoft.com en *.update.microsoft.com toevoegen. Dit zijn de websites waar de update is te vinden. Er is een ActiveX-besturingselement nodig om de update te kunnen installeren.

Wat is de omvang van het beveiligingslek?  
Dit beveiligingslek heeft betrekking op de uitvoering van externe code. Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Waardoor wordt het beveiligingslek veroorzaakt?  
Wanneer Internet Explorer toegang probeert te krijgen tot een object dat niet is geïnitialiseerd of is verwijderd, kan het geheugen dusdanig worden beschadigd dat een aanvaller willekeurige code kan uitvoeren in de context van de aangemelde gebruiker.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?  
Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als een aangemelde gebruiker. Als de gebruiker met beheerdersrechten is aangemeld, kan een aanvaller die misbruik weet te maken van dit beveiligingslek, volledige controle krijgen over een systeem waarin dit probleem optreedt. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Hoe kan een aanvaller dit beveiligingslek misbruiken?  
Een aanvaller kan over een website beschikken die speciaal is ontworpen om via Internet Explorer misbruik te maken van dit lek, en vervolgens de gebruiker ertoe overhalen deze website te bekijken. De aanvaller zou ook misbruik kunnen maken van gemanipuleerde websites en websites die inhoud of advertenties van gebruikers accepteren of hosten. Deze websites kunnen speciaal vervaardigde inhoud bevatten, die misbruik van dit beveiligingslek kan maken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat. Speciaal ontworpen webinhoud kan ook worden weergegeven via banneradvertenties of andere manieren waarop webinhoud bij de kwetsbare systemen wordt afgeleverd.

Voor welke systemen vormt dit beveiligingslek het grootste risico?  
Voordat de aanvaller schadelijke acties kan uitvoeren, moet de gebruiker zijn aangemeld en een website bezoeken. Daarom lopen computers waarop e-mailberichten worden gelezen of waarop Internet Explorer regelmatig wordt gebruikt, zoals werkstations en terminalservers, het meeste risico.

Ik heb Internet Explorer voor Windows Server 2003 / Windows Server 2008. Betekent dit dat het beveiligingslek minder problemen oplevert?  
Ja. Standaard wordt Internet Explorer op Windows Server 2003 en Windows Server 2008 uitgevoerd in een beperkte modus genaamd Verbeterde beveiliging. Verbeterde beveiliging van Internet Explorer betreft een groep vooraf geconfigureerde Internet Explorer-instellingen die de kans vrij klein maken dat een gebruiker of beheerder speciaal vervaardigde webinhoud op een server downloadt en uitvoert. Dit is een beperkende factor voor websites die u niet aan de zone Vertrouwde websites van Internet Explorer hebt toegevoegd. Zie ook De verbeterde beveiliging van Internet Explorer beheren.

Wat doet de update?  
De update wijzigt de manier waarop objecten in het geheugen door Internet Explorer worden verwerkt.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft heeft uit discrete bronnen informatie over dit beveiligingslek ontvangen.

Was aan Microsoft gerapporteerd dat er misbruik was gemaakt van dit beveiligingslek op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Met beperkende factoren wordt verwezen naar een instelling, de algehele configuratie of algemene tips voor een standaardstatus waarmee de ernst van misbruik via een beveiligingslek kan worden verminderd. De volgende beperkende factoren kunnen in uw situatie van pas komen:

• In het geval van een aanval vanaf het web kan de aanvaller beschikken over een website waarop zich een webpagina bevindt waarmee dit beveiligingslek wordt misbruikt. Daarnaast kunnen ook gemanipuleerde websites en websites waarop gegevens of advertenties staan of gegevens of advertenties kunnen worden ingevoerd, schadelijke inhoud bevatten die dit beveiligingslek kunnen misbruiken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat.
• Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Microsoft heeft nog geen oplossingen voor dit beveiligingslek.

Wat is de omvang van het beveiligingslek?  
Dit beveiligingslek heeft betrekking op de uitvoering van externe code. Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als de lokale gebruiker. Gebruikers met accounts waarvoor minder gebruikersrechten op het systeem zijn ingesteld, lopen minder risico dan gebruikers die met beheerdersrechten werken.

Waardoor wordt het beveiligingslek veroorzaakt?  
Wanneer Internet Explorer toegang probeert te krijgen tot een object dat niet is geïnitialiseerd of is verwijderd, kan het geheugen dusdanig worden beschadigd dat een aanvaller willekeurige code kan uitvoeren in de context van de aangemelde gebruiker.

Met welk doel kan een aanvaller het beveiligingslek misbruiken?  
Een aanvaller die erin slaagt misbruik te maken van dit beveiligingslek, kan dezelfde rechten over het systeem krijgen als een aangemelde gebruiker. Als de gebruiker met beheerdersrechten is aangemeld, kan een aanvaller die misbruik weet te maken van dit beveiligingslek, volledige controle krijgen over een systeem waarin dit probleem optreedt. De aanvaller kan vervolgens programma's installeren, gegevens bekijken, wijzigen of wissen, of nieuwe accounts met volledige gebruikersrechten maken.

Hoe kan een aanvaller dit beveiligingslek misbruiken?  
Een aanvaller kan over een website beschikken die speciaal is ontworpen om via Internet Explorer misbruik te maken van dit lek, en vervolgens de gebruiker ertoe overhalen deze website te bekijken. De aanvaller zou ook misbruik kunnen maken van gemanipuleerde websites en websites die inhoud of advertenties van gebruikers accepteren of hosten. Deze websites kunnen speciaal vervaardigde inhoud bevatten, die misbruik van dit beveiligingslek kan maken. Een aanvaller kan echter een gebruiker er niet toe dwingen om naar deze websites te gaan. De aanvaller moet een gebruiker er dus van overtuigen een bezoek te brengen aan de website. In de meeste gevallen doet de aanvaller dat door de gebruiker ertoe te bewegen op een koppeling in een e-mailbericht of een verzoek in een expresbericht te klikken waarmee de gebruiker naar de website van de aanvaller gaat. Speciaal ontworpen webinhoud kan ook worden weergegeven via banneradvertenties of andere manieren waarop webinhoud bij de kwetsbare systemen wordt afgeleverd.

Voor welke systemen vormt dit beveiligingslek het grootste risico?  
Voordat de aanvaller schadelijke acties kan uitvoeren, moet de gebruiker zijn aangemeld en een website bezoeken. Daarom lopen computers waarop e-mailberichten worden gelezen of waarop Internet Explorer regelmatig wordt gebruikt, zoals werkstations en terminalservers, het meeste risico.

Wat doet de update?  
De update wijzigt de manier waarop objecten in het geheugen door Internet Explorer worden verwerkt.

Was dit beveiligingslek openbaar gemaakt op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft heeft uit discrete bronnen informatie over dit beveiligingslek ontvangen.

Was aan Microsoft gerapporteerd dat er misbruik was gemaakt van dit beveiligingslek op het moment dat dit beveiligingsbulletin werd uitgegeven?  
Nee. Microsoft beschikte niet over informatie dat dit beveiligingslek was gebruikt voor aanvallen op klanten en had geen voorbeelden van gepubliceerde conceptcode gezien als bewijs toen dat dit beveiligingsbulletin oorspronkelijk werd uitgegeven.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.

Opmerking Voor ondersteunde versies van Windows XP Professional x64 Edition is deze beveiligingsupdate dezelfde als die voor ondersteunde versies van Windows Server 2003 x64 Edition.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.

Referentietabel

In de volgende tabel vindt u informatie over de beveiligingsupdate voor deze software. Aanvullende informatie vindt u in de subsectie Informatie over implementatie van deze sectie.