Video: 30 Ultimate Windows 10 -vinkkejä ja -vinkkejä vuodelle 2020 (Marraskuu 2024)
Microsoft korjaa 33 haavoittuvuutta Internet Explorerin, Office-sovellusten, Windowsin,.NET-kehyksen ja Lyncin kymmenessä tiedotteessa osana toukokuuta päivitettävää tiistaina -julkaisua.
Kymmenestä vain kaksi tiedotetta on luokiteltu "kriittiseksi" korkeimmalle vakavuudelle, Microsoft sanoi Patch Tiistai -ilmoitusohjeessaan. Jäljellä olevat korjaustiedot luokitellaan "tärkeiksi", mikä tarkoittaa yleensä, että hyökkääjät eivät pystyisi hyödyntämään virhettä ilman käyttäjän osallistumista.
"Vaikka 10 laastaria, jotka kattavat 33 haavoittuvuutta, saattavat tuntua suurelta numerolta, se ei ole kaikki huono uutinen IT: lle", Lumensionin turvallisuus- ja oikeuslääketieteellinen analyytikko Paul Henry sanoi.
Korjaukset Internet Explorerille
Molemmat kriittiset korjaukset ovat Internet Explorerille. Tämän kuukauden korjaustiedotetilaisuuden suuri kysymys oli, korjaako Microsoft äskettäin ilmoitetun nollapäivän Internet Explorer 8: ssa. Microsoft julkaisi väliaikaisen kiertotavan viime viikolla ja seurasi sitä täyttä korjaustiedostoa (MS13-038) tänään.
"On helpotusta nähdä, että Microsoft on ratkaistu tähän niin nopeasti, koska sitä käytetään aktiivisesti", Henry sanoi.
Toinen IE-korjaustiedosto (MS13-037) on kumulatiivinen päivitys IE-versioille 6, 7, 8, 9 ja 10, ja se sulkee 11 erilaista haavoittuvuutta, mukaan lukien Pwn2Own-kilpailun aikana maaliskuussa ilmoitetut haavoittuvuudet.
"Yhdessä tasolla tämä on Microsoft heidän turvallisuudestaan parhaimmillaan", Ross Barrett, Rapid7: n turvallisuustekniikan vanhempi johtaja, kertoi SecurityWatchille . Yhtiö reagoi nopeasti julkisen neuvoa antavan varoituksen lähettämiseen, työsti väliaikaisen kiertotavan ja sulki virheen osana suunniteltua päivitystä, kaikki 11 päivän kuluessa.
Toisaalta se, että Microsoft julkaisee kriittisiä Internet Explorer -korjauksia käytännössä joka kuukausi, korostaa, mikä on vikaa siinä, kuinka Microsoft käsittelee korjaustiedostoja ja vanhempia ohjelmistoja, Barrett sanoi. Sitä vastoin Googlen Chrome-selain päivitetään automaattisesti, kun korjaukset tulevat saataville, eikä selaimessa ole "vanhaa versiota", josta huolehtia. Microsoft yhdistää resursseja vanhempien versioiden ylläpitämiseen ja altistaa käyttäjät riskeille, Barrett sanoi.
Muut huomioitavat tiedotteet
Muut merkittävät tiedotteet koskevat palvelunestoehtoja, jotka vaikuttavat HTTP-asiakasohjelmaan ja palvelimeen Windowsissa (MS13-039). Aihe koskee vain uudempia Windows-versioita, erityisesti Windows Server 2012. Hyökkäykset, jotka hyödyntävät tätä haavoittuvuutta, voivat "olla erittäin haitallisia", koska monet etäpalvelut ja Active Directory -integraatiot perustuvat http.sys-järjestelmään, Barrett sanoi.
"Kaikkien IT-tietoturvaryhmien tulisi siirtyä tähän nopeasti, koska hyväksikäyttöä kehitetään todennäköisesti erittäin nopeasti. Onnistunut hyväksikäyttö voi aiheuttaa DoS-vaikutuksen vaikutusalaan kuuluvilla palvelimilla luomalla tilapäisiä katkoksia", kertoi Tripwiren turvallisuustutkimuksen ja -kehityksen johtaja Lamar Bailey.
Microsoft puuttui useiden Office-tuotteiden haavoittuvuuksiin, kuten etäkoodin suorittamisvirheisiin Microsoft Lyncissä - entinen Communicator (MS13-041), ja 11 muistivirheisiin liittyviä ongelmia Publisherissa (MS13-042), ja virheisiin Microsoft Wordissa ja Excelissä (MS13- 042). Lync-haavoittuvuutta voidaan hyödyntää vain, jos kaksi Lync-istunnon käyttäjää jakaa haitallista sisältöä. "Toivottavasti kukaan käyttäjistäsi ei ole käynyt Lync-keskusteluja jonkun kanssa, joka yrittää hyökätä järjestelmiisi. Tällöin sinun pitäisi olla kunnossa", Henry sanoi.
Huijauksen haavoittuvuus ja todennuksen ohitus.NET: ssä (MS13-040) eivät vaikuta oletuskokoonpanoon. Toisessa tiedotteessa käsiteltiin Windows Essentials 2012 -tietojen paljastamisen haavoittuvuuksia (MS13-045). Microsoft korjaa myös kolme paikallista käyttöoikeusvirheen Windows-ytimen tilan ohjaimissa (MS13-046). Vakavin virheistä vaikuttaa Windows XP: hen, ja hyökkääjät voivat suorittaa prosesseja korotetuissa olosuhteissa.
"Muista korjata Internet Explorer (MS13-037 ja MS13-038) mahdollisimman pian yhdessä MS13-039: n kanssa Internet-päin oleville verkkopalvelimille ja seurata loput korjaustiedostot", sanoi Marc Maiffret, BeyondTrustin johtaja.
