Updates voor zero-day in Microsoft Office

Op Patch-Tuesday 14 september heeft Microsoft een update uitgebracht om de zero-day in Microsoft Office te verhelpen. Over het algemeen wordt deze update automatisch gedownload en geïnstalleerd. Vanwege de ernst van deze kwetsbaarheid is het aan te raden om te controleren of de update ook daadwerkelijk is geïnstalleerd.

Kwetsbaarheid

De zero-day heeft kenmerk CVE-2021-40444 en een CVSS-score van 8.8. Bij de bekendmaking van deze kwetsbaarheid op 7 september was er nog geen geen patch beschikbaar. Deze is inmiddels wel beschikbaar via Office updates. Het gaat bij deze zero-day om een malicious Word document met aanpassingen in ActiveX control. Hierdoor kan de kwetsbaarheid in deze functionaliteit worden misbruikt. Vervolgens is het mogelijk om willekeurige code op afstand uit te voeren (remote code execution).

De volgende systemen zijn kwetsbaar:

• Windows Server 2022
• Windows Server 2019
• Windows Server 2016
• Windows Server 2012 (R2)
• Windows Server 2008 (R2)
• Windows Server, versie 20H2
• Windows Server, versie 2004
• Windows 10 (alle versies)
• Windows (RT) 8.1
• Windows 7

Advies

Over het algemeen worden de updates automatisch geïnstalleerd. Vanwege de ernst van de zero-day, raden we aan om altijd te controleren of deze daadwerkelijk zijn geïnstalleerd. Hierbij volgen de stappen om te checken of de laatste updates, inclusief de patch voor de zero-day, zijn geïnstalleerd en zonodig handmatig te installeren:

1. Open Outlook.
2. Klik links bovenin op “bestand”.
3. Klik vervolgens op “Office Account”.
4. Klik op “Update opties”.
5. Kies voor “Nu bijwerken”.

Let op! Mogelijk moet de gebruiker hiervoor Outlook, Word, etc. afsluiten om de updates toe te passen.

Contact

Heeft u vragen naar aanleiding van dit bericht? Neem contact met ons op.