Microsoft opraví strašidelné usb chybu, 20 chýb, v marci náplasť utorok

Spoločnosť Microsoft vydala sedem bezpečnostných bulletinov opravujúcich viac ako 20 zraniteľností na utorok marca Patch. Ovplyvnené aplikácie a komponenty zahŕňajú Internet Explorer, Silverlight, Visio Viewer, Sharepoint, OneNote, Office pre Mac a ovládač jadra vo všetkých verziách Windows.

Podľa bulletinu o bezpečnosti spoločnosti Microsoft vydaného v utorok boli štyri z týchto bulletinov hodnotené ako kritické a tri za dôležité. Kumulatívna oprava programu Internet Explorer, ktorá má najvyššiu prioritu, sa vzťahuje na všetky podporované verzie programu Internet Explorer, od verzií 6 do 10.

„Do dnešného dňa by mal byť každý, kto má operačný systém Windows a veľa obchodov Microsoft, usilovne oprava patchovacích systémov, “ napísal Kurt Baumgartner, vedúci bezpečnostného výskumníka spoločnosti Kaspersky Lab, na SecureList.

Poradenstvo IE sa nevzťahuje na používateľov, ktorí si stiahli a nainštalovali IE 10 pre Windows 7 vydaný pred pár týždňami, pretože spoločnosť Microsoft tieto opravy už zahrnula. Zatiaľ čo žiadna z nich nie je v súčasnosti zameraná na divočinu, IE je častým cieľom a mala by sa okamžite opraviť.

„Z deviatich adresovaných CVE ovplyvňuje sedem z nich každú podporovanú verziu programu Internet Explorer, takže útočníci majú pri výbere zraniteľnosti, ktorú môžu v blízkej budúcnosti využiť, veľa možností, “ uviedla organizácia SecurityWatch Marc Maiffret, CTO spoločnosti BeyondTrust.

Patch tohto mesiaca neobsahuje žiadne zraniteľné miesta, ktoré boli zverejnené v rámci súťaže Pwn2Own na výstave CanSecWest, ale určite sa staví, že sa čoskoro objavia.

Spectre of Stuxnet

Oprava slabých miest v ovládači jadra v tomto mesiaci sa môže zdať podobná opravám vo februári a januári, ale je oveľa strašidelnejšou chybou. Chyba v ovládači zariadenia USB by sa mohla spustiť iba tak, že niekto vloží disk USB do počítača. Nezáleží na tom, či je počítač uzamknutý alebo či je používateľ odhlásený; počítač musí byť zapnutý.

Spoločnosť Microsoft hodnotila tento bulletin ako „dôležitý“ na rozdiel od „kritického“, pretože útok vyžaduje, aby mal útočník fyzický prístup k počítaču. Neexistuje žiadny vzdialený vektor, čo znamená, že bude „využívaný iba vo veľmi obmedzených a cielených útokoch, “ uviedol Maiffret.

Iní odborníci však boli znepokojení. „Len si predstavte, čo by s touto zraniteľnosťou mohol urobiť riadne motivovaný personál školského personálu za jediný večer, “ povedal Andrew Storms, riaditeľ bezpečnostných operácií v spoločnosti nCircle. Ohrozené sú verejné kiosky a strediská spoločného umiestnenia, ktoré nemajú zamknuté skrinky. „Možnosťou poškodenia touto zraniteľnosťou nie je možné povedať viac, “ povedal Storms.

Stuxnet využil funkciu „auto-run“, vďaka ktorej môže systém Windows automaticky vykonať kód na jednotke USB bez toho, aby do nej vložil užívateľ. Zatiaľ čo automatické vypínanie bolo odvtedy zakázané, podľa najnovšej verzie Rapid7's Ross Barrett by sa dokonca pred posledným automatickým spustením spustili posledné zraniteľné miesta USB.

„Túto metódu útoku ste videli už roky a teraz sa zobrazuje v podnikoch na celom svete, “ povedal Storms.

Silverlight, Office, SharePoint, Oh My!

Jedným z kritických bulletinov boli problémy v aplikácii Microsoft Silverlight, ktoré boli „zaujímavé, pretože som si nebol vedomý toho, že ktokoľvek na svete skutočne nasadil systém Silverlight, “ povedal Barrett Rapid7 pre SecurityWatch . Pre tých, ktorí majú Silverlight, je to vážny problém „rovnako ako zraniteľnosť vo formáte Flash, “ uviedol Barrett. Chyba ovplyvňuje všetky verzie Silverlight, ale oprava sa vzťahuje iba na Silverlight 5. Pred použitím opravy musia používatelia aktualizovať Silverlight.

Oprava programu Visio 2010 Viewer je hodnotená ako kritická, pretože umožňuje vzdialené vykonanie kódu. Možným útočným vektorom je nalákanie používateľa na čítanie chybne formátovaného dokumentu programu Visio zaslaného e-mailom. Zraniteľnosť programu Visio však vyžaduje, aby bol nainštalovaný radič Visio Viewer ActiveX, uviedol Barrett. Správcovia môžu túto funkciu zakázať, až kým nebude záplata plne použitá ako zmierňovací krok, uviedol. Chyba SharePoint umožňuje útočníkom vložiť škodlivý kód do uložených dopytov pomocou skriptovania na viacerých stránkach. Po spustení tohto dotazu by sa mohol spustiť kód útoku s oprávneniami správcu.

OneNote a Outlook pre Mac mali tento mesiac záplaty a sú hodnotené ako dôležité. Útočník by mohol prinútiť používateľa, aby otvoril škodlivý súbor alebo priečinok OneNote, ktorý by spustil chybu, aby obišiel mechanizmy ochrany heslom a šifrovania, aby mohol čítať súbory a priečinky OneNote používateľa.