Vídeo: Realtime Mitigation of New Microsoft Zero-Day Vulnerability ID (ADV200006) (De novembre 2024)
Microsoft va llançar cinc pedaços, dos qualificats com a "crítics" i tres com a "importants": la fixació de 23 vulnerabilitats a Internet Explorer, Microsoft Windows i Silverlight com a part de l'actualització del Patch Tuesday. El pegat IE també va tancar la vulnerabilitat que els atacants del dia zero exploten des del febrer.
Els atacants van explotar la vulnerabilitat crítica del dia zero (CVE-2014-0322) a Internet Explorer 10 el mes passat com a part de l’operació SnowMan, que va comprometre el lloc web pertanyent als Veterans dels Estats Units de les Guerres Estrangeres, així com en un atac diferent que suplicava un francès. fabricant aeroespacial. El pegat IE (MS14-022) tanca aquest defecte així com 17 altres, inclòs un que s'ha utilitzat en atacs dirigits a Internet Explorer 8 (CVE-2014-0324), Dustin Childs, gestor de grups de Microsoft Trustworthy Computing, va escriure al bloc de Microsoft Security Response Center.
"Evidentment, l'actualització d'EI ha de ser la vostra màxima prioritat", va dir Childs.
Problemes amb Silverlight
L’altre parche crític soluciona un defecte crític d’execució de codi remot en DirectShow i afecta a diverses versions de Windows. Va dir la vulnerabilitat en la manera en què les imatges JPEG són analitzades per DirectShow, cosa que fa que els atacs que exploten aquest defecte insereixin imatges malintencionades dins de pàgines web compromeses o incrustades dins de documents, va dir Marc Maiffret, CTO de BeyondTrust. Val la pena assenyalar que els usuaris que utilitzin privilegis que no siguin administradors tindran menys impactes en aquests atacs perquè l’atacant estarà limitat en el dany que pugui causar.
El bypass de la característica de seguretat a Silverlight és qualificat com a "important", però també ha de ser una prioritat bastant alta. Els atacants poden explotar el defecte dirigint els usuaris a un lloc malintencionat que conté contingut Silverlight dissenyat especialment, va dir Microsoft. El que és perillós és que els atacants puguin passar per alt ASLR i DEP, dues explotacions tecnològiques de mitigació integrades a Windows explotant aquesta vulnerabilitat, va advertir Maiffret. Un atacant necessitaria una explotació secundària per assolir l'execució remota de codi després d'haver superat ASLR i DEP per obtenir el control del sistema, com ara la fallada de bypass ASLR que es va enganxar al desembre (MS13-106). Tot i que actualment no hi ha atacs que exploten aquest defecte en estat salvatge, els usuaris haurien de bloquejar que Silverlight s’executés a Internet Explorer, Firefox i Chrome fins que s’aplica el pegat, va dir Maiffret. També és important assegurar-se que també s’han desplegat pedaços més antics.
Microsoft hauria de renunciar a Silverlight ja que "ve molts parches donada la seva limitació adopció", va suggerir Tyler Reguly. Com que Microsoft continuarà donant-li suport fins al 2021 com a mínim, les organitzacions haurien de començar a migrar de Silverlight per tal que "tots poguéssim desinstal·lar Silverlight i augmentar eficaçment la seguretat dels sistemes d'usuaris finals", va afegir.
Els pedaços de Microsoft restants
Un altre pedaç que s’ha d’aplicar més aviat que tard és el d’adreçar un parell d’elevació de vulnerabilitats de privilegi Controlador de mode del nucli de Windows (MS14-014) ja que afecta totes les versions de Windows suportades (per a aquest mes, que encara inclou Windows XP). Per explotar aquest defecte, l’atacant "ha de tenir les credencials d’inici de sessió vàlides i poder iniciar sessió localment", va advertir Microsoft.
El pedaç final soluciona els problemes del protocol remot (SAMR) del gestor de comptes de seguretat, que permet als atacants comptes de Active Directory per poder atacar i no bloquejar-se del compte. El pegat soluciona la trucada de l'API de manera que Windows bloqueja correctament els comptes en atac. "Les polítiques de bloqueig d'intent de contrasenya s'han establert específicament per evitar intents de força bruta i permetre que un atacant maliciós ocorri la política derrota completament la protecció que proporciona", va dir Reguly.
Altres actualitzacions de programari
Aquesta és la setmana per a les actualitzacions del sistema operatiu. Apple va llançar iOS 7.1 a principis d'aquesta setmana i Adobe va actualitzar el seu Adobe Flash Player (APSB14-08) per tancar dues vulnerabilitats avui. Actualment els problemes no s’exploten en estat salvatge, va dir Adobe.
Apple ha solucionat alguns problemes importants a iOS 7, inclòs un problema de sinistre que podria permetre a un usuari local canviar permisos en fitxers arbitraris en els dispositius afectats, un problema del nucli que podria permetre la terminació inesperada del sistema o l'execució arbitrària de codi al nucli. i un error que permetia a un usuari no autoritzat passar les necessitats de signatura de codi en els dispositius afectats. Apple també va arreglar un error que podia permetre a un atacant atraure un usuari a descarregar una aplicació maliciosa mitjançant Enterprise App Download i una altra que permetia un fitxer de còpia de seguretat maliciós modificat el sistema d'arxius iOS.
