Videó: Эволюция Microsoft Surface 2012-2021 (November 2024)
Tegnap a Microsoft 13 biztonsági közleményt adott ki, amely körülbelül 47 hibát fed le a szokásosnál kissé nagyobb javítócsomag kedden. Ezek közül négyet kritikusnak, a többi fontosnak minősítettek. Készüljön fel a frissítésre!
Érdekes módon a múlt héten bejelentették a.NET-ben a szolgáltatásmegtagadás kérdésével kapcsolatos tizennegyedik frissítést, ám a további tesztelés céljából visszatartották. A Microsoft talán el akarja kerülni néhány zavart a múlt hónap keddjéből, amelyben a frissítést a kiadás után kellett húzni.
Internet Explorer és Social Engineering
A Microsoft tíz sebezhetőséget orvosolt az Internet Explorer összesített frissítésével, amely hat-tól 10-es verziót érint. Ez azt jelenti, hogy szinte mindenkit érintenek ezek a változások, ami a legjobb, mivel ezek közül a hibák közül néhány lehetővé tette a kód távoli végrehajtását.
"A legsúlyosabb sebezhetőség lehetővé teheti a távoli kódfuttatást, ha a felhasználó egy speciálisan kialakított weboldalt néz az Internet Explorer segítségével" - írta a Microsoft. "Az a támadó, aki sikeresen kihasználta a sérülékenységek közül a legsúlyosabbat, ugyanolyan felhasználói jogokat szerezhet, mint a jelenlegi felhasználó." Ez egy másik nagyszerű érv annak elkerülésére, hogy soha ne használjon fiókot a rendszergazdai priveleges tevékenységekkel a napi munkához.
A Microsoft Word és az Excel frissítést fog látni egy fájlformátum sérülékenységével kapcsolatban, ahol egy speciálisan kialakított Office fájl használható kód végrehajtására az áldozat számítógépén. "A Microsoft ezeket a sebezhetőségeket csak" fontosnak "ítéli meg, mert együttműködésük megköveteli a célt" - írja a Qualy CTO Wolfgang Kandek. "A támadók azonban újra és újra bebizonyították, hogy rendelkeznek a szükséges szociális mérnöki technikákkal az akadály könnyed leküzdésére."
Valójában a jelenlegi jelentések a szociális mérnököket helyezik a felhasználókkal szembeni legnagyobb fenyegetések tetejére, csakúgy, mint a sérült fájlokat, mint amilyeneket az Office ezen frissítései tartalmaznak. Ezek a fájlok hihetetlenül veszélyesek, mert legitimnek tűnnek, és láttuk, hogy miként használják nagy haszonként a fejlett tartós fenyegetési támadások során.
Outlook és társai
A Microsoft Outlook népszerű 2007-es és 2010-es verziója szintén javításra került ebben a hónapban, ez egy különösen csúnya biztonsági rést javított ki. "A támadó kihasználhatja a tanúsítvány-elemző algoritmust, ha aláír egy e-mailt, és több mint 256 tanúsítványt fészkel az aláírásban" - magyarázta Kandek. "A támadás puffer túlcsordulást okoz, még akkor is, ha csak az Outlook előnézeti ablakában jelenítették meg."
Noha a Microsoft szerint az előretekintő támadást nehéz levonni, ez veszélyes, mivel az áldozatnak nem kell semmit tennie a támadás sikeréhez.
Ezen felül a Microsoft kritikus javításokat adott ki a Sharepoint 2003, 2007, 2010 és 2013, valamint a Microsoft Visio számára. A fontos javításra kerülő javítások, az OLE, a Windows témafájlok, a Microsoft Access, az Office IME kínai, a Kernal-Mode illesztőprogramok, a Windows Service Control Manager, a FrontPage és az Active Directory.
Kép a Flickr-felhasználó, Dan Dickinson segítségével
