Відео: Dame Tu cosita ñ (Листопад 2024)
Microsoft випустила 11 бюлетенів безпеки для грудневого випуску Patch Tuesday, виправивши 24 вразливості в програмному забезпеченні Microsoft, включаючи Microsoft Windows, Internet Explorer, Office та Exchange. Незважаючи на те, що Microsoft не вирішила проблеми з нульовим днем, виявлені в листопаді XP / Server 2003, вона виправила помилку TIFF, яка вплинула на систему обміну повідомленнями Windows, Office та Lync.
П'ять бюлетенів оцінюються як "критичні", а решта шість - "важливі". Критичне в цьому випадку означає, що в разі експлуатації вразливість дозволить зловмиснику віддалено виконувати код. Важливо в цьому контексті означає, що вразливість може призвести до збиття даних користувачів або порушення певних процесів. Microsoft рекомендує критичні патчі застосовувати негайно, а важливі патчі "при першій же можливості".
"Як і в останній, пізній тропічний шторм сезону, " Майкрософт "здійснив останній крок по командам з безпеки та ІТ-систем", - сказав Росс Баррет, старший менеджер інженерії безпеки в Rapid7.
Нуль, який було виправлено
Випуск графічного компонента з нульовим днем торкнувся Windows Vista, Windows Server 2008, Office 2003/2007/2010 та Lync 2010/2013. Цю вразливість можна використовувати за допомогою попереднього перегляду або відкриття зловмисно створеного зображення TIFF та активних атак, успішно націлених на Office 2010 на системи XP. Ця помилка була виправлена в MS13-096, сказав Дастін Чайлдс, менеджер групи з Microsoft Trustworthy Computing.
Користувачі та адміністратори повинні розглядати цей виправлення як головний пріоритет, навіть якщо вони встановили виправлення в листопаді, розповів Пол Генрі, аналітик з криміналістики Lumension. "Оскільки ми знаємо, що переконати користувачів натискати не завжди так важко зробити, патч для цього, безумовно, вітається", - сказав Генрі.
Багато виправлень для Internet Explorer
Наступним виправленням пріоритету має бути MS13-097, сукупне оновлення до Internet Explorer. Цей бюлетень розсипає сім помилок. Незважаючи на те, що ці проблеми наразі не націлені, багато авторів шкідливих програм люблять переробити інженерні виправлення, щоб створити нові подвиги. Це означає, що користувачі, які не оновлювали IE негайно, можуть потрапити на один із цих подвигів.
Один з помилок, виправлених у патчі IE, впливає на будь-яку підтримувану версію Internet Explorer, попередив Марк Майфрет, CTO компанії BeyondTrust. "Розкачіть цей пластир якомога швидше", - сказав він.
Бюлетень, що виправляє проблему в бібліотеці об'єктів Microsoft сценаріїв виконання сценарію (MS13-099), також слід вважати високим пріоритетом, оскільки цей компонент Windows поширюється в кожній версії операційної системи. Зловмисники можуть скористатися вадою через веб-браузер, запустивши атаку за допомогою нападника і ввести комп'ютер жертви у виконання шкідливого коду, попередив Майфрет.
Випуск під час перевірки підпису
Microsoft вирішила проблему в механізмі перевірки підписів WinVerifyTrust (MS13-098), який присутній у кожній підтримуваній версії Windows. Зловмисники можуть скористатися цим недоліком для зміни підписаної програми, не змінюючи підпис програми. Користувачі вважають, що виконуваний файл є законною програмою, оскільки він мав легітимний підпис, коли насправді він містив шкідливий код, сказав Мейфрет.
Експлуати, спрямовані на цю вразливість, вже спостерігалися в дикій природі, тому розгортання цього патча також є пріоритетним завданням.
Помилка обміну в веб-доступі Outlook
Бюлетень Microsoft Exchange (MS13-105) вирішує проблеми з веб-доступом Outlook (OWA) і пов'язаний з компонентом Oracle Out-In. Цей патч з'являється після того, як Oracle випустив нову версію компонента у своєму Critical Patch Update ще в жовтні. Зловмисники можуть використовувати ці помилки, надсилаючи шкідливий документ електронною поштою. Зловмисники можуть взяти під контроль весь поштовий сервер після того, як обманують користувача на його перегляд, - сказав Волфганг Кандек, CTO компанії Qualys. "Якщо ви використовуєте OWA у налаштуваннях, MS13-105 є важливим виправленням для вашої організації", - сказав Кандек.
Виправлення Adobe Flash
Компанія також випустила ще чотири рекомендації, один з яких оновив Adobe Flash Player в Internet Explorer. Adobe раніше сьогодні виправив дві вразливості у програвачі Flash Player 11.9.900.153 та більш ранніх версіях Windows та Mac OS X. Одне з питань наразі націлене в дикій природі, зазначив Adobe. Microsoft випустила свої рекомендації, оскільки постачає Flash Player в останній версії Internet Explorer, подібно до того, що Google робить зі своїм браузером Chrome.
Інший довідник Microsoft вирішив важливу проблему, пов’язану з автентифікацією, що стосується програм ASP.NET. Розробникам додатків .NET необхідно звертати увагу на рекомендації щодо запобігання їх впливу.
"Місячний місяць буде зайнятим для всіх команд, які тут беруть участь, із задоволенням виправляючи всіх", - сказав Барретт.
