Zerodaylek in Microsoft Support Diagnostic Tool

Wat is er aan de hand?

Afgelopen weekend hebben beveiligingsonderzoekers een zeroday-beveiligingslek in de Microsoft Support Diagnostic Tool ontdekt. De diagnostische tool wordt gebruikt om problemen met Windows vast te stellen. De kwetsbaarheid betreft het aanroepen van deze tool door middel van een URL, bijvoorbeeld via een Word-document. Een aanvaller die er misbruik van maakt kan op afstand willekeurige code uitvoeren met de rechten van het programma waarmee het URL-protocol aangeroepen wordt.  

Wat is het risico?

Een aanvaller die er misbruik van maakt kan op afstand willekeurige code uitvoeren met de rechten van het programma waarmee het URL-protocol aangeroepen wordt. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 7.8

Welke producten zijn kwetsbaar?

Deze kwetsbaarheid draagt ook de naam Follina. De kwetsbaarheid heeft de aanduiding CVE-2022-30190 gekregen en treft Windows-versies vanaf Windows 7 tot en met Windows 11 en Windows Server 2022.

Wat moet ik doen?

Als tijdelijke oplossing adviseert Microsoft om het MSDT-url-protocol uit te schakelen. Hierdoor is het kwetsbare onderdeel niet meer door een aanvaller aan te roepen. Wij raden aan dit door de IT-beheerder te laten doen. Dit kan door op de commando prompt het volgende uit te voeren: ‘reg delete HKEY_CLASSES_ROOT\ms-msdt /f’ uit te voeren. Maak vooraf een back-up van het register via ‘reg export HKEY_CLASSES_ROOT\ms-msdt bestandsnaam’. Het roll-back scenario bij een eventuele fout is om de back-up van het register terug te zetten via ‘reg import bestandsnaam’.
 

Draai je Microsoft Defender Antivirus? Zorg voor bescherming dat deze is bijgewerkt tot versie 1.367.774.0 of hoger. Zakelijke gebruikers met Microsoft Defender for Endpoint kunnen de ASR-regel (Attack Surface Reduction Rule) "BlockOfficeCreateProcessRule" in te schakelen. Die voorkomt dat Office-apps onderliggende processen maken. Daarnaast biedt de Protected View van Office of Application Guard voor Office bescherming.

Waar vind ik de updates/blog?

De updates en andere informatie zijn te vinden op de website van Microsoft:

https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability/