Spoločnosť Microsoft v utorok opraví nultý deň v utorok

Spoločnosť Microsoft ohlásila 11 bezpečnostných bulletinov pre decembrové vydanie Patch Tuesday, ktoré opravili 24 slabých miest v softvéri spoločnosti Microsoft vrátane systémov Microsoft Windows, Internet Explorer, Office a Exchange. Aj keď spoločnosť Microsoft neriešila chybu jedného dňa v systéme XP / Server 2003 objavenú v novembri, opravila chybu TIFF, ktorá ovplyvnila podnikové zasielacie systémy Windows, Office a Lync.

Päť bulletinov je hodnotených ako „kritické“ a zvyšných šesť je považovaných za „dôležité“. Kritické v tomto prípade znamená, že v prípade zneužitia umožní zraniteľnosť útočníkovi vykonať kód na diaľku. Dôležitá v tejto súvislosti znamená, že táto zraniteľnosť by mohla mať za následok narušenie používateľských údajov alebo narušenie určitých procesov. Spoločnosť Microsoft odporúča okamžité použitie kritických opráv a dôležité opravy „pri najbližšej príležitosti“.

„Rovnako ako posledná, neskoro tropická búrka v sezóne, aj spoločnosť Microsoft berie posledný výpad v bezpečnostných a IT tímoch, “ povedal Ross Barrett, vedúci bezpečnostného inžinierstva v Rapid7.

Nulový deň, ktorý bol opravený

Nulové vydanie grafickej komponenty ovplyvnilo systémy Windows Vista, Windows Server 2008, Office 2003/2007/2010 a Lync 2010/2013. Túto zraniteľnosť možno zneužiť ukážkou alebo otvorením škodlivo vytvoreného obrazu TIFF a aktívne útoky úspešne zacielili balík Office 2010 na systémy XP. Táto chyba bola opravená v MS13-096, uviedol Dustin Childs, manažér skupiny pre Microsoft Trustworthy Computing.

Používatelia a správcovia by mali túto záplatu považovať za najvyššiu prioritu, aj keď v novembri nainštalovali rýchlu opravu, pre agentúru SecurityWatch uviedol Paul Henry, forenzní analytik spoločnosti Lumension. „Pretože vieme, že presvedčiť používateľov, aby klikli, nie je vždy také ťažké, záplata je určite vítaná, “ povedal Henry.

Veľa opráv pre Internet Explorer

Ďalšou prioritou by mala byť oprava MS13-097, kumulatívna aktualizácia programu Internet Explorer. Tento bulletin rozdrtí sedem chýb. Aj keď tieto problémy nie sú v súčasnosti cielené, veľa autorov škodlivého softvéru radi opravuje záplaty, aby vytvorili nové výhody. To znamená, že používatelia, ktorí neaktualizujú IE okamžite, môžu byť chytení jedným z týchto problémov.

Jedna z chýb opravených v opravách IE ovplyvňuje každú podporovanú verziu programu Internet Explorer, varoval Marc Maiffret, CTO spoločnosti BeyondTrust. „Túto záplatu čo najskôr rozviňte, “ povedal.

Bulletin, ktorým sa opravuje problém v knižnici objektov run-time skriptov spoločnosti Microsoft (MS13-099), by sa mal tiež považovať za vysokú prioritu, pretože táto súčasť systému Windows je distribuovaná s každou verziou operačného systému. Útočníci môžu chybu využiť prostredníctvom webového prehľadávača spustením útoku autom a podviesť počítač obete na vykonanie škodlivého kódu, varoval Maiffret.

Problém pri overovaní podpisu

Spoločnosť Microsoft problém vyriešila v mechanizme overovania podpisov WinVerifyTrust (MS13-098), ktorý je k dispozícii vo všetkých podporovaných verziách systému Windows. Útočníci mohli využiť túto chybu na úpravu podpísaného programu bez toho, aby sa zrušil podpis programu. Užívatelia by si mysleli, že spustiteľný súbor je legitímny program, pretože mal legitímny podpis, keď v skutočnosti obsahoval škodlivý kód, uviedol Maiffret.

Exploitácie zamerané na túto zraniteľnosť už boli pozorované vo voľnej prírode, preto je nasadenie tejto opravy prioritou.

Chyba výmeny v aplikácii Outlook Web Access

Bulletin Microsoft Exchange (MS13-105) rieši problémy s programom Outlook Web Access (OWA) a súvisí s komponentom Oracle Outside-In. Táto oprava prichádza po tom, čo spoločnosť Oracle vydala novú verziu komponentu v aktualizácii kritických opráv v októbri. Útočníci môžu tieto chyby zneužiť zaslaním škodlivého dokumentu e-mailom. Útočníci môžu prevziať kontrolu nad celým poštovým serverom potom, čo ho podviedli, aby si ho prezeral, povedal Wolfgang Kandek, CTO spoločnosti Qualys. „Ak vo svojom nastavení používate OWA, MS13-105 je dôležitou záplatou pre vašu organizáciu, “ povedal Kandek.

Oprava Adobe Flash

Spoločnosť vydala aj ďalšie štyri odporúčania, z ktorých jedno aktualizovalo program Adobe Flash Player v prehliadači Internet Explorer. Spoločnosť Adobe dnes zverejnila dve chyby zabezpečenia v prehrávači Flash Player 11.9.900.153 a starších verziách systému Windows a Mac OS X. Jeden z problémov je v súčasnosti predmetom útoku vo voľnej prírode. Spoločnosť Microsoft vydala odporúčanie, pretože dodáva balík Flash Player v najnovšej verzii programu Internet Explorer, podobne ako v prípade prehliadača Chrome v prehliadači Google.

Ďalšie poradenstvo spoločnosti Microsoft sa zaoberalo dôležitým problémom súvisiacim s autentifikáciou, ktorý ovplyvňuje aplikácie ASP.NET. Vývojári aplikácií.NET musia venovať pozornosť poradenstvu, aby sa zabezpečilo, že ich aplikácie nebudú ovplyvnené.

„Bude to rušný mesiac pre všetky tímy, ktoré sú tu zapojené, všetko šťastné oprava, “ povedal Barrett.