Video: Calling All Cars: The Corpse Without a Face / Bull in the China Shop / Young Dillinger (Oktober 2024)
Windows skrbniki s spomladansko vročino se lahko veselijo; Microsoft je v svoji izdaji Patch Tuesday objavil le dva kritična glasila.
Od devetih biltenov, izdanih v tem mesecu, sta samo dva ocenjena kot kritična, kar pomeni, da lahko napadalec na daljavo dobi nadzor nad ciljno napravo. Vsi preostali so ocenjeni kot pomembni, kar pomeni, da napadalec na splošno potrebuje nekakšen dostop do sistema, preden ga prevzame. Microsoft je v tem mesecu obravnaval 13 varnostnih ranljivosti.
Dobra novica je, da je največji vpliv na osnovno kodo in ne na najnovejše različice Microsoftovih izdelkov, je dejal Paul Henry, varnostni analitik podjetja Lumension. "Če vaš sistem izvaja najnovejše in največje različice programske opreme - kot vedno, saj je najnovejša ponavadi najbolj varna -, bi morali ta mesec imeti minimalne vplive, " je dejal.
IE kot najvišja prioriteta
Bilten z največjo prioriteto v tem mesecu je posodobitev za Internet Explorer (MS13-028), ki odpravi težavo brez uporabe v vseh podprtih različicah spletnega brskalnika od IE 6 do IE 10, kar lahko, če se izkoristi, povzroči oddaljeno izvedba kode. Bilten je obravnaval tudi poglobljeno obrambo, ki se zanaša na uporabnike, ki imajo nameščeno Java 6.0 ali starejšo.
"Glede na število vprašanj, ki jih je imela Java v zadnjem času, upamo, da še vedno nihče ne izvaja starih različic Jave, " je opozoril Henry.
Prednostni indeks je le 2, kar kaže, da obliž izkoriščanja ni preprost, zato Microsoft ne pričakuje, da bo v naslednjih 30 dneh videl delujoč izkoristek, kaže Microsoftovo svetovalno obvestilo Patch Tuesday.
"Napadalci bodo preučili, kako izkoristiti te dve ranljivosti, saj lahko napadalci ciljajo na več različic Internet Explorerja z uporabo le nekaj ranljivosti, zato je pomembno, da ta obliž čim prej postavite, " je dejal Marc Maiffret, CTO podjetja BeyondTrust.
Microsoft še vedno ni določil ničelne dnevne ranljivosti, razkrite med tekmovanjem Pwn2Own na konferenci CanSecWest v Vancouvru prejšnji mesec.
Oddaljeno namizje v nevarnosti, spet
Druga prednostna naloga naj bo obliž za krmiljenje ActiveX programske opreme oddaljene namizne programske opreme (MS13-029), ki vpliva na vse različice sistema Windows in "ni vrsta težave, ki jo običajno opazimo v operacijskem sistemu Windows RDP", je dejal Henry.
Napadalci lahko to ranljivost izkoristijo tako, da žrtve poškodovajo na obisku spletnih mest, ki gostijo zlonamerne kontrole ActiveX. Takoj, ko obiskovalec pristane na spletnem mestu, bi koda izkoristila ranljivost, da bi pridobila možnost izvrševanja poljubne kode, kot da bi bil uporabnik, je opozoril Maiffret.
"Medtem ko so kontrole ActiveX lahko vključene v večino programov Windows, je najverjetnejši vektor napada prek spletnega brskalnika, " je dejal Wolfgang Kandek, CTO, Qualys.
"Pomembno", vendar ne "Kritično"
Varnostni strokovnjaki so tudi ta mesec označili nekaj drugih "pomembnih" biltenov za posebno pozornost. Odklon napake v storitvi Active Directory (MS13-032) bi moral biti "visoko na seznamu za poslovne namestitve", je dejal Kandek. Napadalci bi lahko poslali zlonamerno poizvedbo LDAP, ki bi sprožila ranljivost, kar bi izčrpalo spomin sistema in povzročilo zavrnitev storitve.
Povečanje vprašanja privilegiranja, ki vpliva na Microsoft InfoPath, Groove Server, SharePoint Foundation in Server ter "Office Web Apps 2010" (MS13-035), bi prav tako moralo biti visoko na seznamu, saj odpravlja težavo znotraj komponente HTML Sanitization, ki jo najdete v teh paketov, je dejal Ross Barrett, višji vodja varnostnega inženiringa pri Rapid7. Če bi jih uspešno izkoristili, bi napadalci lahko izvajali skripte, ki običajno niso dovoljene, brali omejene podatke in izvajali nepooblaščena dejanja s privilegiranimi žrtvami.
Čeprav ranljivost ni bila javno razkrita, se zdi, da jo ciljni napadi že izkoriščajo v naravi.
Microsoft ni največja skrb
Microsoft že dolgo časa ni bil glavni vir glavobolov v IT. Adobe je danes v svojem predvajalniku Flash Player odpravil osem težav, skrbniki IT pa bi se morali zagnati za novo posodobitev Java, ki je trenutno predvidena 16. aprila. Oracle naj bi v tej izdaji odpravil številne kritične ranljivosti.
