Video: Microsoft Edge with Internet Explorer Mode - PRE09 (Oktober 2024)
Microsoft rettede 33 sårbarheder på tværs af ti bulletins i Internet Explorer, Office-applikationer, Windows,.NET-rammer og Lync som en del af dens May Patch tirsdag-udgivelse.
Af de ti er kun to bulletins bedømt som "kritiske" som den højeste alvorlighedsvurdering, sagde Microsoft i sin rådgivning om anmeldelse af Patch Tuesday. De resterende programrettelser er klassificeret som "vigtige", hvilket normalt betyder, at angribere ikke ville være i stand til at udnytte fejlen uden brugerens deltagelse.
”Selvom 10 programrettelser, der dækker 33 sårbarheder, kan virke som et højt antal, er det ikke alle dårlige nyheder for IT, ” sagde Paul Henry, sikkerheds- og kriminaltekniker hos Lumension.
Rettelser til Internet Explorer
Begge kritiske programrettelser er til Internet Explorer. Det store spørgsmål til denne måneds patch-tirsdag var, om Microsoft vil ordne den nyligt rapporterede nul-dag i Internet Explorer 8. Microsoft frigav en midlertidig løsning i sidste uge og fulgte op med en fuld patch (MS13-038) i dag.
"Det er en lettelse at se, at Microsoft har adresseret dette så hurtigt, da det udnyttes aktivt, " sagde Henry.
Den anden IE-patch (MS13-037) er en kumulativ opdatering til IE version 6, 7, 8, 9 og 10 og lukker 11 forskellige sårbarheder, herunder de sårbarheder, der blev rapporteret under Pwn2Own-konkurrencen tilbage i marts.
"På et niveau er dette Microsoft på deres bedste sikkerhed, " fortæller Ross Barrett, senior manager for sikkerhedsteknik hos Rapid7, til SecurityWatch . Virksomheden reagerede straks med at udsende en offentlig rådgivende advarsel om problemet, skubbede ud en midlertidig løsning og lukkede derefter fejlen som en del af en planlagt opdatering, alt inden for 11 dage.
På den anden side fremhæver det faktum, at Microsoft frigiver kritiske Internet Explorer-patches praktisk talt hver måned, hvad der er galt med, hvordan Microsoft håndterer programrettelser og ældre software, sagde Barrett. I modsætning hertil opdateres Googles Chrome-browser automatisk, efterhånden som rettelser bliver tilgængelige, og der er ingen "gammel version" af browseren at bekymre sig om. Microsoft binder ressourcer til vedligeholdelse af de ældre versioner og udsætter brugerne for risiko, sagde Barrett.
Andre bulletins at bemærke
Den anden bemærkelsesværdige bulletin adresserer en tilstand afslag på tjeneste, der påvirker HTTP-klienten og serveren i Windows (MS13-039). Problemet gælder kun for nyere versioner af Windows, især Windows Server 2012. Angreb, der udnytter denne sårbarhed, kan "potentielt være meget forstyrrende", da mange fjerntjenester og Active Directory-integrationer er afhængige af http.sys, sagde Barrett.
"Alle IT-sikkerhedsteams skal hoppe hurtigt på dette, da en udnyttelse sandsynligvis vil blive udviklet meget hurtigt. En vellykket udnyttelse kan forårsage et DoS på berørte servere, der skaber midlertidige afbrydelser, " sagde Lamar Bailey, direktør for sikkerhedsforskning og -udvikling hos Tripwire.
Microsoft adresserede sårbarheder i forskellige Office-produkter, såsom fejlkørsel til ekstern kode i Microsoft Lync - tidligere Communicator- (MS13-041) og 11 hukommelseskorruptionsproblemer i Publisher (MS13-042), og fejl i Microsoft Word og Excel (MS13- 042). Lync-sårbarheden kan kun udnyttes, hvis to brugere i en Lync-session deler ondsindet indhold. "Forhåbentlig har ingen af dine brugere Lync-samtaler med nogen, der prøver på at angribe dine systemer, i hvilket tilfælde du skulle være okay, " sagde Henry.
Forfalskning af spoofing og autentificering af.NET (MS13-040) påvirker ikke standardkonfigurationen. En anden bulletin adresserede sårbarheder ved informationsafdækning i Windows Essentials 2012 (MS13-045). Microsoft fik også rettet tre lokale forhøjelser af privilegier i Windows Kernel-modus drivere (MS13-046). Den mest alvorlige af fejlene påvirker Windows XP og giver angribere mulighed for at køre processer i en forhøjet kontekst.
"Sørg for at lappe Internet Explorer (MS13-037 og MS13-038) så hurtigt som muligt sammen med MS13-039 på internetvendte webservere, efterfulgt af resten af patches, " sagde Marc Maiffret, CTO for BeyondTrust.
