Video: Как Youtube спасла мир от Internet Explorer 6 (Noiembrie 2024)
Microsoft a rezolvat 33 de vulnerabilități în zece buletine în Internet Explorer, aplicații Office, Windows, cadru.NET și Lync ca parte a lansării de marți a lui Patch Patch.
Dintre cele zece, doar două buletine sunt considerate „critice”, ratingul de cea mai mare severitate, a spus Microsoft în avizul său de notificare Patch Tuesday. Patch-urile rămase sunt considerate „importante”, ceea ce înseamnă că, de obicei, atacatorii nu vor putea exploata defectul fără participarea utilizatorului.
"În timp ce 10 patch-uri care acoperă 33 de vulnerabilități pot părea un număr ridicat, nu este totul o veste proastă pentru IT", a declarat Paul Henry, analist de securitate și criminalist la Lumension.
Corecții pentru Internet Explorer
Ambele patch-uri critice sunt pentru Internet Explorer. Cea mai mare întrebare pentru Patch Tuesday de această lună a fost dacă Microsoft va repara ultima zi raportată zero în Internet Explorer 8. Microsoft a lansat o soluție temporară săptămâna trecută și a urmat un patch complet (MS13-038) astăzi.
"Este o ușurare să vezi că Microsoft a abordat acest lucru atât de repede, deoarece este exploatat activ", a spus Henry.
Celălalt patch IE (MS13-037) este o actualizare cumulativă pentru versiunile IE 6, 7, 8, 9 și 10 și închide 11 vulnerabilități diferite, inclusiv vulnerabilitățile raportate în timpul competiției Pwn2Own din martie.
"La un nivel, acesta este cel mai bine Microsoft în ceea ce privește securitatea lor", a declarat pentru SecurityWatch Ross Barrett, senior manager de securitate la Rapid7. Compania a răspuns prompt să emită un avertisment public privind problema, a eliminat o soluție temporară și apoi a închis defectul ca parte a unei actualizări programate, toate în termen de 11 zile.
Pe de altă parte, faptul că Microsoft lansează practic lunare critici de Internet Explorer evidențiază ce este greșit în modul în care Microsoft gestionează patch-urile și software-ul mai vechi, a spus Barrett. În schimb, browserul Google Chrome este actualizat automat, odată ce corecțiile devin disponibile și nu există nicio „versiune veche” a browserului. Microsoft a legat resursele pentru menținerea versiunilor mai vechi și expunerea utilizatorilor la riscuri, a spus Barrett.
Alte buletine de notat
Celălalt buletin notabil abordează o condiție de refuz de serviciu care afectează clientul și serverul HTTP în Windows (MS13-039). Problema se aplică doar versiunilor mai noi de Windows, în special Windows Server 2012. Atacurile care exploatează această vulnerabilitate ar putea fi "potențial perturbatoare", deoarece multe servicii la distanță și integrări Active Directory se bazează pe http.sys, a spus Barrett.
"Toate echipele de securitate IT ar trebui să se ridice rapid la acest aspect, deoarece o exploatare este probabil să se dezvolte foarte repede. O exploatare de succes ar putea provoca un DoS pe serverele afectate creând întreruperi temporare", a declarat Lamar Bailey, directorul cercetării și dezvoltării securității la Tripwire.
Microsoft a abordat vulnerabilități în diferite produse Office, cum ar fi bug-urile de execuție a codului la Microsoft Lync - fost Communicator - (MS13-041) și 11 probleme de corupție a memoriei în Publisher (MS13-042) și bug-uri în Microsoft Word și Excel (MS13- 042). Vulnerabilitatea Lync poate fi exploatată numai dacă doi utilizatori dintr-o sesiune Lync împărtășesc conținut rău intenționat. "Sperăm că niciunul dintre utilizatorii dvs. nu are conversații Lync cu cineva care încearcă să vă atace sistemele, caz în care ar trebui să fiți bine", a spus Henry.
Vulnerabilitatea spoofing și bypass-ul de autentificare din.NET (MS13-040) nu afectează configurația implicită. Un alt buletin a abordat vulnerabilitățile de divulgare a informațiilor din Windows Essentials 2012 (MS13-045). De asemenea, Microsoft a rezolvat trei ridicări locale de defecte de privilegiu în driverele de mod Windows Kernel (MS13-046). Cea mai severă dintre erori afectează Windows XP și permite atacatorilor să ruleze procese într-un context ridicat.
"Asigurați-vă că aplicați Internet Explorer (MS13-037 și MS13-038) cât mai curând posibil, împreună cu MS13-039 pe serverele web orientate pe internet, urmate de restul de patch-uri", a declarat Marc Maiffret, CTO al BeyondTrust.
