Microsoft va aixafar 47 errors el dimarts de pegats

Ahir, Microsoft va emetre 13 butlletins de seguretat que cobrien uns 47 errors en un dimarts de pedaxe lleugerament més gran que l’habitual. Entre aquests, quatre es van enumerar com a crítics i la resta marcats com a importants. Prepareu-vos per actualitzar-lo!

Curiosament, la catorzena actualització relacionada amb un problema de denegació de servei a.NET es va anunciar la setmana passada, però es va retenir per a proves posteriors. Potser Microsoft vol evitar una mica de la confusió de la pega del dimarts passat, on es va haver de retirar una actualització després del llançament.

Internet Explorer i Enginyeria Social

Microsoft va abordar deu vulnerabilitats amb una actualització acumulada a Internet Explorer, que va afectar les versions sis a 10. Això significa que gairebé tots es veuran tocats per aquests canvis, la qual cosa és millor, ja que alguns d'aquests errors van permetre l'execució remota de codi.

"Les vulnerabilitats més greus podrien permetre l'execució remota de codi si un usuari veu una pàgina web especialment elaborada mitjançant Internet Explorer", va escriure Microsoft. "Un atacant que explota amb èxit la més greu d'aquestes vulnerabilitats podria obtenir els mateixos drets d'usuari que l'usuari actual." Aquest és un altre gran argument per no utilitzar mai un compte amb privleges d’administrador per a la feina diària.

Microsoft Word i Excel podran veure les actualitzacions sobre una vulnerabilitat en format de fitxer, on es pot utilitzar un fitxer Office especialment elaborat per executar codi a l'ordinador de la víctima. "Microsoft només valora aquestes vulnerabilitats com a" importants "perquè requereixen l'objectiu de cooperar", escriu el CTO de Qualy, Wolfgang Kandek. "Tot i això, els atacants han demostrat una vegada i una altra vegada que tenen les tècniques d'enginyeria social necessàries per superar aquest obstacle amb facilitat".

De fet, els informes que hem vist situen l'enginyeria social al capdamunt de les principals amenaces contra els usuaris, com també són fitxers tacats com els tractats amb aquestes actualitzacions d'Office. Aquests fitxers són increïblement perillosos perquè semblen legítims, i hem vist com han estat utilitzats amb gran efecte en atacs d'amenaça persistent avançats.

Outlook i Altres

Les versions populars de Microsoft Outlook 2007 i 2010 també van quedar pegades aquest mes, solucionant una vulnerabilitat particularment desagradable. "Un atacant pot explotar l'algorisme de l'anàlisi de certificats signant un correu electrònic i nidificant més de 256 certificats en la signatura", va explicar Kandek. "L'atac provoca un desbordament del buffer, encara que només es visualitzi al panell de previsualització d'Outlook."

Tot i que Microsoft assegura que l’atac de perspectiva és difícil d’extirpar, és perillós ja que la víctima no ha de fer res perquè l’atac tingui èxit.

A més d’aquests, Microsoft va llançar pegats crítics per a Sharepoint 2003, 2007, 2010 i 2013, així com Microsoft Visio. Els parches van etiquetar cobertes importants OLE, fitxers de temes de Windows, Microsoft Access, Office IME Chinese, controladors de mode Kernal, Windows Service Manager, FrontPage i Active Directory.

Imatge mitjançant l'usuari de Flickr Dan Dickinson