Vídeo: Что делать, если вы удалите System32? (Setembre 2024)
Aquesta tarda, Microsoft ha llançat vuit butlletins de seguretat per tractar 23 vulnerabilitats en diversos serveis, inclosos Windows, Internet Explorer i Exchange. D’aquests, tres van assolir la màxima qualificació de Crítica, mentre que la resta van ser marcats com a Importants.
Per als usuaris que vulguin prioritzar el seu pegat, Microsoft recomana centrar-se en MS13-059 i MS13-060. Dit això, hauríeu de pegar-ho tot tan aviat com pugueu fer-ho.
Atacs de tipus de lletra i vulnerabilitats d’IE
D’aquests dos, el Butlletí 059 és una actualització acumulada de seguretat per a Internet Explorer, que inclou 11 vulnerabilitats de divulgació privada. "Les vulnerabilitats més greus podrien permetre l'execució remota de codi si un usuari veu una pàgina web especialment dissenyada utilitzant Internet Explorer", escriu Microsoft. "Un atacant que explota amb èxit la més greu d'aquestes vulnerabilitats podria obtenir els mateixos drets d'usuari que l'usuari actual."
Marc Maiffret, CTO de BeyondTrust, explica: "Tot sol, la vulnerabilitat no permet l'execució de codi, sinó que es combinaria amb una altra vulnerabilitat per obtenir l'execució de codi amb els drets de l'usuari."
L’actualització d’IE també és destacable per incloure una correcció a una vulnerabilitat utilitzada per VUPEN Security al concurs de pwn2own 2013. Veure? Tota aquesta competència està donant els seus fruits.
El butlletí 060 es relaciona amb una vulnerabilitat en el processador d'escriptures Unicode, bàsicament permetent als atacants utilitzar la representació de tipus de lletra com a vector d'atac. S'han vist problemes similars en l'actualització del Dimarts de Patch del mes passat.
El qualys CTO Wolfgang Kandek va explicar a SecurityWatch que "els tipus de lletra estan dibuixats al nivell del nucli, de manera que si d'alguna manera podeu influir en el dibuix dels tipus de lletra i desbordar-lo". Això podria, Kandek, va donar un atacant a l'ordinador de la víctima.
Tot i que es limita al tipus de lletra Bangali de Windows XP, aquesta vulnerabilitat és particularment desconcertant a causa de les múltiples vies d’atac que, si és així, ofereixen. "És un vector d'atac molt atractiu", va dir Amol Sarwate, directora de Laboratoris de Vulnerabilitat Qualys. Tot un atacant hauria de fer és dirigir la víctima a un document, correu electrònic o pàgina web malintencionada per explotar la vulnerabilitat.
Vulnerabilitat d’intercanvi crític
El tercer butlletí crític té a veure amb l’execució remota de codi als servidors de Microsoft Exchange. Kandek va dir a SecurityWatch que un atacant podria explotar aquestes tres vulnerabilitats amb un fitxer PDF especialment creat que quan es visualitzés - no es descarrega - atacaria el servidor de correu de la víctima.
Anteriorment, aquestes vulnerabilitats eren publicades per Oracle, que fa que sigui el component afectat. Per sort, encara no s'ha detectat cap execució en estat salvatge, però en qüestions similars s'han parlat repetidament en el passat. Maiffret escriu que dues de les vulnerabilitats estan "dins de la funció de visualització de documents WebReady, que hem vist pegades diverses vegades durant l'últim any (MS12-058, MS12-080 i MS13-012). Oracle continua donant a Microsoft i Exchange un ull negre consistent ".
Kandek assenyala, "ha estat molt fàcil trobar vulnerabilitats en aquest component de programari" i que els usuaris haurien de considerar la possibilitat de tancar aquesta funció a més de pegar el programari. Si ho feu, obligarà els usuaris a descarregar fitxers adjunts per visualitzar-los, que pot ser un preu reduït per pagar per seguretat
Hi ha alguns altres avantatges a la llista de pegats d'aquest mes, inclosa una vulnerabilitat IPv6, i una mica de privilegi, denegació de servei i vulnerabilitats de divulgació d'informació. Tot i que tothom arriba a pegar-nos, estarem preparats per a la ronda d’equivocació d’errors del mes que ve.
