Dansk firma: Microsoft overså sårbarhed

Secunia advarer mod en sårbarhed, som softwaregiganten ikke fik rettet med seneste sending af udbedringer. Advarslen skyldes, at en mand allerede har lagt et stykke kode, som kan udnytte sårbarheden, ud på nettet. Microsoft havde foretrukket tavshed.

Det danske it-sikkerhedsfirma Secunia har givet Microsoft røde øren. Tirsdag - samme dag som softwaregiganten udsendte rettelser til otte sårbarheder - fortalte Secunia omverdenen, at softwaregiganten har overset en meget alvorlig sårbarhed.

? Vi kunne se, at opskriften på at udnytte netop den sårbarhed lige er blevet offentliggjort på nettet af en person ved navn Stewart Pearson.

Han ville bevise, at sårbarheden eksisterer, oplyser teknisk direktør Thomas Kristensen, Secunia.

Han kan konstatere, at Microsoft efterfølgende har kritiseret offentliggørelsen af sårbarheden.

Ifølge nyhedstjenesten IDG News Service påpeger Microsoft, at det er almindeligt accepteret praksis, at en sårbarhed først skal rapporteres til producenten.

Denne praksis giver producenten en mulighed for at få en patch på plads, inden omverdenen ? og dermed hackersamfundet ? orienteres.

Længe kendt
Sårbarheden blev imidlertid rapporteret af et andet firma, Hexview, 30. marts, oplyser Secunia. Men Hexview modtog ingen reaktion fra Microsoft, og lagde siden informationerne ud på visse web-steder.

Thomas Kristensen skønner, at det er ret sandsynligt, at nogen, der handler i ond vilje, snart vil udnytte Pearsons kode. Sandsynligheden for, at antivirussoftware afværger den ondartede kode er nemlig ikke så stor.

Sårbarheden findes i Microsoft?s Jet Database Engine. Den kan tvinges til at køre udefra kommende kode, hvis man får lokket brugeren til at åbne en særligt designet fil af typen ?.mdf? i Microsoft Access.

? Antivirusfiltre lukker typisk af for visse typer filer, såsom .exe, men .mdf ses sjældent filtreret fra, siger Thomas Kristensen.

At Secunia vælger at offentliggøre fakta skyldes hensyn til kunderne, siger Thomas Kristensen.

Han mener, at det er for arbejdskrævende for de sikkerhedsansvarlige selv at tjekke alle web-steder, hvor potentiel ondartet kode offentliggøres.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Ed A/S
Salg af hard- og software.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Sådan bruger du aktivt AI til at styrke din cybersikkerhedsindsats

Kan AI styrke din cybersikkerhed og forebygge f.eks. ransomwareangreb? Ja – og endda særdeles effektivt! På denne konference kan du blive klogere på, hvordan du i praksis anvender AI til at styrke dit sikkerhedsniveau – og gøre cyberbeskyttelsen mere fleksibel.

27. november 2024 | Læs mere


Styrk din virksomhed med relevant, pålidelig og ansvarlig AI integration med SAP

Kom og få indsigt i, hvordan du bruger AI til at transformere og effektivisere dine arbejdsgange. Vi kigger nærmere på AI-assistenten Joule, der vil revolutionere måden, brugerne interagere med SAP’s forretningssystemer. Og så får du konkret viden om, hvordan du kommer i gang med at bruge AI til at booste din forretningsudvikling.

03. december 2024 | Læs mere


Fyr op under vækst med dataanalyse, AI og innovation

Hvor langt er den datadrevne virksomhed nået i praksis? Det kan du høre om fra virksomheder, som har foretaget transformationen. Du kommer også til at høre, hvordan de anvender AI i processen, hvilke mål de har nået, hvordan de har høstet gevinsterne og hvilke nyskabelser, der er på vej i horisonten.

04. december 2024 | Læs mere