NCSC waarschuwt voor actief misbruik van kritiek Windows Server-lek

[Captain Kirk]

Het Nationaal Cyber Security Centrum (NCSC) waarschuwt voor actief misbruik van een kritieke kwetsbaarheid in Windows Server waarvoor Microsoft gisteren een noodpatch uitbracht. Via het beveiligingslek in de Windows Server Update Service (WSUS) kan een ongeauthenticeerde aanvaller kwetsbare Window-servers op afstand volledig overnemen, als voor de server de WSUS-rol is ingesteld. Iets dat niet standaard het geval is.

"Het NCSC heeft van een vertrouwde partner vernomen dat op 24 oktober 2025 misbruik van CVE-2025-59287 is waargenomen. Tevens is er publieke proof-of-conceptcode beschikbaar voor de betreffende CVE, wat het risico op misbruik verhoogt. Het is goed gebruik om WSUS niet direct aan het internet te ontsluiten", zo laat het NCSC in een beveiligingsadvies over de kwetsbaarheid weten.

Met WSUS hebben organisaties meer controle over de updates die ze binnen hun netwerk uitrollen. WSUS downloadt de updates bij Microsoft en distribueert ze vervolgens onder Windowscomputers op het netwerk. Hierdoor hoeven niet alle computers de updates apart te downloaden. Het is een integraal onderdeel van Windows Server. Een "deserialization" kwetsbaarheid bij het verwerken van onbetrouwbare data zorgt ervoor dat een ongeauthenticeerde aanvaller, op afstand code op een Windows-server kan uitvoeren met SYSTEM-rechten. Hiervoor volstaat het versturen van een speciaal geprepareerd request naar de Windows-server.

De impact van CVE-2025-59287 is op een schaal van 1 tot en met 10 beoordeeld met een 9.8. Microsoft kwam op 14 oktober al met een beveiligingsupdate, maar heeft gisteren het beveiligingsbulletin aangepast en laat weten dat proof-of-concept exploitcode publiek beschikbaar is. Daarnaast heeft het techbedrijf een "out of band security update" uitgebracht om de kwetsbaarheid "volledig" te patchen.

De patch is beschikbaar voor Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019, Windows Server 2022, Windows Server 2022, 23H2 Edition (Server Core installatie) en Windows Server 2025. Microsoft had al bij het uitbrengen van de eerste update op 14 oktober aangegeven dat verwacht misbruik van het beveiligingslek "more likely" is.

 

bron: https://www.security.nl