Kwetsbaarheden verholpen in Microsoft Windows

Microsoft verhelpt meerdere kwetsbaarheden in Windows.

Een kwaadwillende kan de kwetsbaarheden mogelijk misbruiken om:

• Een Denial-of-Service te veroorzaken,
• Beveiligingsmaatregelen te omzeilen,
• Willekeurige code uit te voeren,
• Verhoogde rechten te verkrijgen,
• Zich toegang te verschaffen tot gevoelige gegevens,
• Zich voordoen als een andere gebruiker.

De kwetsbaarheden met kenmerk CVE-2021-31166 (CVSS 9.80) en CVE-2021-28476 (CVSS 9.90) zijn door Microsoft ingeschaald als "Critical".

De kwetsbaarheid met kenmerk CVE-2021-31166 bevindt zich in de HTTP Protocol Stack. Een kwaadwillende op afstand kan deze kwetsbaarheid misbruiken door speciaal geprepareerde pakketten naar de HTTP server te sturen om willekeurige code uit te voeren. Voor deze kwetsbaarheid is op 16-05-2021 Proof-of-Concept code verschenen. De Proof-of-Concept code toont aan dat het mogelijk is om een Denial-of-Service uit te voeren.

De kwetsbaarheid met kenmerk CVE-2021-28476 bevindt zich in Hyper-V waarbij een Hyper-V VM de Hyper-V host-kernel kan forceren om een willekeurige, potentieel ongeldig adres uit te lezen. De inhoud van het adres zal de Hyper-V VM niet bereiken. In de meeste gevallen zal dit leiden tot een Denial-of-Service van de Hyper-V host (bugcheck). Microsoft geeft aan dat het tevens mogelijk is om de beveiliging van de Hyper-V host te compromitteren door het uitlezen van het register van specifieke gekoppelde randapparaten.

Hieronder staat een overzicht van de verschillende kwetsbaarheden beschreven per component en de impact:

Jet Red and Access Connectivity:

Windows RDP Client:

Windows SMB:

Microsoft Bluetooth Driver:

Windows Container Isolation FS Filter Driver:

Windows Container Manager Service:

HTTP.sys:

Role: Hyper-V:

Windows SSDP Service:

Microsoft Windows IrDA:

Windows Wireless Networking:

Windows Projected File System FS Filter:

Windows OLE:

Windows WalletService:

Windows Desktop Bridge:

Windows CSC Service:

Microsoft Windows Codecs Library:

Microsoft Graphics Component: