Microsoft scoate 23 de bug-uri în ziua de marți, în august

În această după-amiază, Microsoft a lansat opt ​​buletine de securitate care abordează 23 de vulnerabilități într-o serie de servicii, inclusiv Windows, Internet Explorer și Exchange. Dintre aceștia, trei au obținut cea mai mare notă de critică, în timp ce restul au fost notate ca fiind importante.

Pentru utilizatorii care doresc să acorde prioritate corecției, Microsoft recomandă concentrarea pe MS13-059 și MS13-060. Acestea fiind spuse, ar trebui să corectezi totul imediat ce vei putea face acest lucru.

Atacuri de fonturi și vulnerabilități IE

Dintre aceste două, Buletinul 059 este o actualizare cumulativă de securitate pentru Internet Explorer, care acoperă 11 vulnerabilități dezvăluite în mod privat. „Cele mai grave vulnerabilități ar putea permite executarea la distanță a codului dacă un utilizator vizualizează o pagină web special creată folosind Internet Explorer”, scrie Microsoft. "Un atacator care a exploatat cu succes cea mai gravă dintre aceste vulnerabilități ar putea câștiga aceleași drepturi ale utilizatorului ca și utilizatorul curent."

Marc Maiffret, CTO de la BeyondTrust explică: „Singur, vulnerabilitatea nu permite executarea codului, ci ar fi în schimb combinată cu o altă vulnerabilitate pentru a obține executarea codului cu drepturile utilizatorului.”

Actualizarea IE este, de asemenea, notabilă pentru includerea unei corecții la o vulnerabilitate folosită de VUPEN Security la competiția 2013 pwn2own. Vedea? Toată acea competiție plătește.

Buletinul 060 se referă la o vulnerabilitate în procesorul Unicode Script, permițând practic atacatorilor să utilizeze redarea de fonturi ca vector de atac. Am văzut probleme similare în actualizarea Patch Tuesday de luna trecută.

Qualgan CTO Wolfgang Kandek a explicat pentru SecurityWatch că „fonturile sunt desenate la nivelul kernel-ului, deci dacă poți influența cumva desenul fonturilor și îl vei revărsa”. Aceasta ar oferi, Kandek, un atacator asupra computerului victimei.

Deși limitată la fontul Bangali din Windows XP, această vulnerabilitate este deosebit de neconcordantă din cauza numeroaselor căi de atac pentru care este posibil. „Este un vector de atac foarte ispititor”, a declarat Amol Sarwate, director al Laboratorilor de Vulnerabilitate Qualys. Tot un atacator ar trebui să facă este să conducă victima către un document, e-mail sau pagină web dăunătoare pentru a exploata vulnerabilitatea.

Vulnerabilitatea critică a schimbului

Al treilea buletin critic are legătură cu execuția codului de la distanță pe serverele Microsoft Exchange. Kandek a declarat pentru SecurityWatch că un atacator ar putea exploata aceste trei vulnerabilități cu un fișier PDF special creat, care atunci când este vizualizat - neîncărcat - ar ataca serverul de poștă al victimei.

Anterior, aceste vulnerabilități au fost dezvăluite de Oracle care face componenta afectată. Din fericire, încă nu a fost observată nicio execuție în sălbăticie, dar că probleme similare au fost aplicate în repetate rânduri în trecut. Maiffret scrie că două dintre vulnerabilități sunt „în cadrul funcției de vizualizare a documentelor WebReady, pe care le-am văzut corecți de mai multe ori în ultimul an (MS12-058, MS12-080 și MS13-012). Oracle continuă să ofere Microsoft și Exchange un ochi negru consecvent ".

Kandek remarcă, „a fost foarte ușor să găsești vulnerabilități în această componentă software” și că utilizatorii ar trebui să ia în considerare oprirea acestei funcții, pe lângă aplicarea software-ului. Dacă faceți acest lucru, veți obliga utilizatorii să descarce fișierele atașate pentru a le vizualiza, ceea ce ar putea fi un preț mic pentru plata pentru securitate

Există alte câteva bunătăți în lista de patch-uri din această lună, incluzând o vulnerabilitate IPv6 și o anumită ridicare a privilegiilor, refuzul serviciilor și vulnerabilitățile de dezvăluire a informațiilor. În timp ce toată lumea ajunge la patch-uri, vom fi pregătiți pentru runda de anulare a bug-urilor.