Video: Overwatch - HUGE Lucio Update! Hammond FIXED! & New GREEN SCREEN! [PTR UPDATE!] (Marraskuu 2024)
Se on suuri joukko ohjelmistokorjauksia, joissa kaikki Microsoft, Adobe ja Oracle julkaisevat tietoturvapäivitykset samana päivänä.
Odotetulla tavalla Microsoft aloitti vuoden 2014 melko kevyellä Patch Tiistai -julkaisulla, jolla korjataan kuusi ei-kriittistä haavoittuvuutta neljään tietoturvatiedotteeseen. Samana päivänä Adobe julkaisi kaksi kriittistä päivitystä, jotka korjaavat kolme kriittistä etäkoodin suorittamisvirhettä Adobe Readerissa, Acrobatissa ja Flashissa. Aikatauluvarmuus tarkoitti, että Oraclen neljännesvuosittainen kriittinen korjaustiedote päivitettiin myös samana tiistaina, jolloin IT-järjestelmänvalvojien oli käsiteltävä valtava määrä korjaustiedostoja. Oracle korjaa 144 haavoittuvuutta 40 tuotteessa, mukaan lukien Java, MySQL, VirtualBox ja sen lippulaiva-Oracle-tietokanta.
"Vaikka Microsoft julkaisee vain neljä päivitystä, Adoben ja Oraclen julkaisuista johtuen IT-järjestelmänvalvojille on paljon työtä", sanoi Qualysin tekninen johtaja Wolfgang Kandek.
Asiantuntijat sanoivat, että Oraclen Java-korjaukset olisi asetettava etusijalle, jota seuraa Adobe Reader- ja Flash-ohjeet ja sitten Microsoft Word- ja XP-päivitykset.
Oracle ottaa Java
Jopa kun otetaan huomioon, että Oracle suorittaa korjauksia neljännesvuosittain ja korjaa enemmän tuotteita, tämä suoritin on edelleen ennätysmallin korjattujen ongelmien lukumäärässä. 144 turvallisuusvirheestä 82 voidaan pitää kriittisinä, koska niitä voidaan hyödyntää etänä ilman todennusta.
Suurin osa haavoittuvuuksista, joihin Oraclen mahtava CPU käsitteli, oli Java v7: ssä. Oracle korjaa 34 etäsuoritusvirhettä useilla pisteillä 10 Common Haavoittuvuus Scoring System -asteikolla. CVSS osoittaa puutteen vakavuuden ja todennäköisyyden, että hyökkääjä saa järjestelmän täydellisen hallinnan.
Java oli yksi vuoden 2013 hyökkäyksimmistä ohjelmistoista, ja asiantuntijat varoittivat siitä, että se on edelleen suosittu kohde. Jos et käytä sitä, poista se. Jos sinulla on oltava Java asennettuna, poista se ainakin käytöstä selaimessa, koska kaikki tähän mennessä tehdyt hyökkäykset ovat hyökänneet selaimeen. Jos käytät Java-sovelluksia tarvitsevia Web-sovelluksia, pidä se toisella Web-selaimella kuin oletussovelluksellasi ja vaihda tarvittaessa. Jos et tarvitse sitä, älä säilytä sitä. Jos pidät sen, laastari heti.
Oracle korjaa myös viisi tietoturvavirhettä omaan Oracle-tietokantaan, joista yhtä voidaan hyödyntää etäkäyttöön, ja 18 MySQL: n haavoittuvuutta. Kolmea näistä virheistä voitiin hyökätä kauko-ohjauksella, ja niiden enimmäis CVSS-pistemäärä oli 10. Palvelinohjelmistolla Solarisilla oli 11 virhettä, joista yksi, joka voidaan hyökätä etäyhteydellä. Vakavimman Solaris-virheen CVSS-pistemäärä oli 7, 2. Prosessori käsitteli yhdeksää asiaa Oracle-virtualisointiohjelmistossa, joka sisältää virtualisointiohjelman VirtualBoxin, joista neljä voidaan laukaista etänä. Suurin CVSS-pistemäärä oli 6, 2.
Jos käytät jotain näistä tuotteista, on tärkeää päivittää ne heti. MySQL: ää käytetään laajasti taustajärjestelmänä useille suosituille CMS- ja foorumiohjelmistoille, mukaan lukien WordPress ja phpBB.
Lukija- ja Flash-korjaukset
Adobe korjatut tietoturvaongelmat Adobe Flash-, Acrobat- ja Reader-ohjelmissa, jotka hyödyntäisivät hyökkääjiä täydellisesti hallitsemaan kohdejärjestelmää. Acrobat- ja Reader-virheen hyökkäysvektori oli vahingollinen PDF-tiedosto. Flash-virhe voidaan hyödyntää käymällä haitallisilla verkkosivuilla tai avaamalla asiakirjoja upotettujen Flash-objektien kanssa.
Jos Adobe-tuotteiden taustapäivitykset on kytketty päälle, päivitysten on oltava saumattomia. Google Chromen ja Internet Explorer 10: n ja 11: n käyttäjien ei tarvitse murehtia Flashin uudesta versiosta, koska selaimet päivittävät ohjelmiston automaattisesti.
Kevyt Microsoft-päivitys
Microsoft korjaa Microsoft Wordin (MS14-001) tiedostomuodon haavoittuvuuden, jota voidaan hyödyntää etäkäyttöön, jos käyttäjä avaa kirjatun Word-tiedoston. Se vaikuttaa kaikkiin Microsoft Word -versioihin Windowsissa, mukaan lukien Office 2003, 2007, 2010 ja 2013, sekä Word-dokumenttien katselijoihin. Tämä ei vaikuta Mac OS X -käyttäjiin.
Viime marraskuussa luonnossa havaittu Windows XP- ja Server 2003 -järjestelmiin vaikuttava nollapäivän haavoittuvuus (CVE-2013-5065) on vihdoin korjattu (MS14-002). Vaikka NDProxy-sovelluksen etuoikeuksien laajennusvirhettä ei voida suorittaa etäyhteydellä, sen tulisi olla korkea prioriteetti, koska se voidaan yhdistää muihin haavoittuvuuksiin. Marraskuun hyökkäyksissä ilmeni virheellinen Adobe Reader -sovellus (joka korjataan toukokuussa 2013 APSB13-15: ssä) virheen saamiseksi Windows-ytimen virheestä. Microsoft korjaa samanlaisen etuoikeuksien lisääntymisvirheen Windows 7: ssä ja Server 2008: ssa (MS14-003).
"Jos olet huolissasi 002: sta eikä 003: sta, sinulla on todennäköisesti joitain ongelmia huhtikuussa, kun Windows XP: n tuki loppuu", Rapid7 sanoi.
Yksin nämä haavoittuvuudet eivät ehkä ole kriittisiä, mutta yhdessä ne voivat olla paljon vakavampia, Trustwave varoitti. Jos kampanja, joka käyttää haitallista Office-asiakirjaa, suorittaa koodin, joka kohdistuu etuoikeuksien korotusvirheeseen, "tietojen kalastelusähköposti epätietoiselle käyttäjälle olisi kaikki mitä tarvitaan", ryhmä sanoi.
