Video: Internet Explorer Starter Kit (1996) - Time Travel (November 2024)
Je to ešte raz: spoločnosť Microsoft dnes vydala najnovšie opravy pre svoje produkty. Zoznam obsahuje niektoré zaujímavé výhody, ale veľkou správou je, že spoločnosť Microsoft uzatvára 10 zraniteľností pre program Internet Explorer, vrátane dvoch zneužití za 0 dní.
Oprava programu Internet Explorer teraz!
Zďaleka najväčším a najdôležitejším kusom tohto mesiaca 'Patch Patch je MS13-080. Táto kumulatívna aktualizácia programu Internet Explorer uzatvára desať predtým nahlásených zraniteľností - z ktorých jedna bola vydaná dočasne okolo minulého mesiaca. Táto oprava ovplyvňuje všetky verzie programu Internet Explorer.
„Najzávažnejšie zraniteľné miesta by mohli umožniť spustenie kódu na diaľku, ak si používateľ prezerá špeciálne vytvorenú webovú stránku pomocou programu Internet Explorer, “ píše spoločnosť Microsoft. „Útočník, ktorý úspešne zneužil najzávažnejšie z týchto zraniteľností, by mohol získať rovnaké používateľské práva ako súčasný používateľ.“ Stručné pripomenutie: z tohto dôvodu je vhodné používať pri bežných činnostiach účet Standard alebo Limited.
Ale okrem tejto dlho očakávanej náplasti je druhou 0-dňovou zraniteľnosťou. Toto druhé zneužitie, CVE-2013-3897, bolo očividne interne objavené v spoločnosti Microsoft. Údajne to bolo vidieť aj vo voľnej prírode. Celkovo vzaté, je to dobrý deň pre IE.
Všetko ostatné
Aj keď je stredobod pozornosti 080, v tejto aktualizácii existuje niekoľko ďalších desivých opráv. Ďalšia záplata na zozname, MS13-081, je dosť dôležitá. Microsoft píše, že „útočník, ktorý by úspešne zneužil tieto zraniteľné miesta, by mohol prevziať úplnú kontrolu nad postihnutým systémom.“ Rozhodne stojí za aktualizáciu.
MS13-083, ktorú vrchný manažér bezpečnostného inžinierstva Rapid7 Ross Barrett označil ako „naozaj zábavný“, označujú odborníci na bezpečnosť. „Toto je originálny článok; skutočný, úprimný k dobrote, potenciálne„ hrozný “stav, napísal Barrett. „Ak by„ zlí chlapci “našli spôsob, ako automatizovať využívanie tohto, mohlo by sa to rýchlo šíriť a bude sa testovať hĺbková ochrana vašej organizácie.“ Našťastie to bola chyba, ktorá bola hlásená súkromne a vo voľnej prírode nebola spozorovaná.
„Je dôležité, aby správcovia systémov zvážili nasadenie systému MS13-083 aj na serveroch, ktoré by zvyčajne neotvorili dokumenty RTF, “ uviedol výskumný pracovník Tripwire pre bezpečnosť Craig Young s odkazom na druh súboru, ktorý sa používa na zneužitie tejto zraniteľnosti. „Základná chyba je v rámci bežných kontrol, ktoré môžu byť potenciálne napadnuté inými prostriedkami, ako sú nesprávne vytvorené dokumenty RTF.“
Medzi ďalšie kritické aktualizácie patrili zraniteľné miesta v ovládačoch Windows Kernel-Mode Drivers a.NET Framework, ktoré by mohli umožniť vzdialené vykonanie kódu. Ďalšie tri záplaty boli hodnotené ako dôležité a mohli by tiež umožniť vzdialené vykonanie kódu. Posledná októbrová záplata, MS13-087, opravila problém „zverejnenia informácií“ v Silverlight.
Desať rokov a silné
Vedľajšou poznámkou je, že táto aktualizácia predstavuje desiate výročie Microsoft Patch Tuesday. V blogovom príspevku Wolfgang Kandek poznamenal, že hoci bol program úspešný, komunity v oblasti bezpečnosti a IT sa stále prispôsobujú. „Vtedy boli zraniteľné miesta jasne zrozumiteľné a ľahko pochopiteľné. Dnes je množstvo zložitosti, ktorá sa týka procesu zisťovania a nápravy, skutočne pôsobivé, “ napísal. „Súčasne sa útočníci presunuli k zraniteľnostiam na strane klienta, čo je zmena, ktorú sme len čiastočne asimilovali.“
Tu je ďalších desať rokov záplat!
Obrázok prostredníctvom používateľa Flickr Christopher Sebela.
