Софтодром   

Январский апдейт от Microsoft закрыл шесть критических уязвимостей

Автор: Softodrom.ru
Дата:


Выпущенный в минувший вторник январский набор обновлений от Microsoft содержит лишь девять бюллетеней, однако шесть из них помечены как критические, а семь брешей открывают возможность для удаленного исполнения кода, сообщает “Лаборатория Касперского”. Это также последние патчи, которые получат пользователи Internet Explorer 8, 9 и 10.

Совокупно разработчик исправил 25 багов в разных продуктах, в том числе в Windows, Internet Explorer, Edge, Visual Basic и Silverlight. В случае эксплойта некоторые уязвимости, как уже было сказано, позволяют удаленно исполнить код, другие открывают возможность для повышения привилегий или подмены контента.

Одна из наиболее опасных брешей, MS16-005, присутствует в драйверах режима ядра Windows; она связана с некорректностью обработки объектов в памяти графическим интерфейсом, ее можно использовать для обхода ASLR. Эксплойт возможен, если атакующему удастся вынудить пользователя зайти на специально созданный сайт, открыть письмо-ловушку или загрузить вредоносный файл, выложенный в общий доступ.

Бюллетень MS16-004 устраняет пять уязвимостей в Microsoft Office. Две из них позволяют обойти средства защиты SharePoint при неправильных настройках политики контроля доступа (ACP). Еще две связаны с порчей памяти и открывают возможность для удаленного выполнения произвольного кода в контексте текущего пользователя, последняя провоцирует обход ASLR.

Критическая брешь в Silverlight (бюллетень MS16-006) чревата исполнением кода, если пользователь посетит скомпрометированный сайт, который содержит вредоносное приложение, созданное на основе этой устаревшей программной платформы. Ведущий эксперт “Лаборатории Касперского” Курт Баумгартнер (Kurt Baumgartner) считает этот баг “самым интересным и сопряженным с наибольшими рисками”, так как ПО Silverlight работает на многих платформах, включая Apple.

Еще два критических бюллетеня адресованы пользователям браузеров Internet Explorer (MS16-001) и Edge (MS16-002). Патчи для IE, последние для версий 8, 9 и 10, закрывают брешь нарушения целостности памяти в движке VBScript и возможность повышения привилегий, которая привнесена некорректным применением кросс-доменных политик. В случае эксплойта первый баг позволяет атакующему исполнить произвольный код. Апдейт для Edge устраняет две уязвимости порчи памяти, одна из них была обнаружена в движке Chakra JavaScript, другая — в самом браузере.

Последний критический патч, MS16-003, применим к той же бреши в VBScript, которая ныне закрывается в Internet Explorer. Это накопительное обновление адресовано тем, кто не установил патч для IE, в особенности если они работают на Vista, Windows Server 2008 или используют режим Server Core в системе Windows Server 2008 R2.

Уязвимости, расцененные Microsoft как важные, некоторые эксперты сочли не менее опасными, чем критические. “Лично я бы уделил внимание MS16-010, — заявил Бобби Кузма (Bobby Kuzma), системный программист из Core Security. — Она оценена как важная, однако я знаю пользователей и их [плохое] поведение, мое паучье чутье трепещет от потенциальных возможностей”.

Бюллетень MS16-10 устраняет четыре уязвимости в Exchange Server, чреватые подменой. Они привнесены некорректностью обработки веб-запросов в клиенте OWA и позволяют внедрить скрипт или контент, чтобы вынудить получателя письма раскрыть конфиденциальную информацию. По свидетельству Microsoft, атакующий также может с аналогичной целью направить пользователя на вредоносный сайт.

Патч для Exchange особо отметил и Крэг Янг (Craig Young) из Tripwire. “Администраторам OWA следует назначить MS16-10 самый высокий приоритет, — полагает исследователь. — Этот патч закрывает [четыре] уязвимости, которые могут повлечь значительные и прямые финансовые потери посредством так называемой компрометации деловой переписки (BEC). Возможность легализовать фишинговое письмо, представив его исходящим с внутреннего адреса, является большим преимуществом для злоумышленников”.

09.01.2023 11:07

Microsoft прекращает поддержку Windows 8.1

Компания Microsoft предупредила пользователей о завершении поддержки операционной системы Windows 8.1


01.07.2022 12:05

Минэкономразвития заменит Windows 10 на Astra Linux

Мероприятия по импортозамещению иностранного программного обеспечения проводятся в том числе с целью минимизировать последствия недружественных действий иностранных государств


21.05.2022 23:56

Конец Windows: президенту Microsoft запретили въезд в Россию

Как отмечается в сообщении МИД РФ, эти меры приняты «в контексте ответных мер на постоянно вводимые США антироссийские санкции»


23.06.2020 18:39

Windows 7 внезапно получила обновление

Microsoft выпустила обновление для операционных систем Windows 7 и 8.1, устанавливающее новый браузер Edge на движке Chromium


27.02.2020 22:12

Microsoft запустила «горячую линию» об окончании поддержки Windows 7

По просьбам пользователей компания Microsoft открыла «горячую линию» для ответа на вопросы по поводу окончания поддержки Windows 7


Популярное: Новости Windows
21.05.2022 23:56

Конец Windows: президенту Microsoft запретили въезд в Россию

Как отмечается в сообщении МИД РФ, эти меры приняты «в контексте ответных мер на постоянно вводимые США антироссийские санкции»


28.04.2007 00:53

Microsoft признает провал Windows Vista

Microsoft признала то, о чем многие все время твердили - Windows Vista, так же известная как Windows Millennium 2, это всего лишь прикол, которого на самом деле никто не хочет


22.10.2007 20:28

Microsoft показала ядро Windows 7

Microsoft разработала минимизированную версию ядра для своей будущей операционной системы, известной под кодовым названием Windows 7


16.04.2007 02:28

Конфигурируем Windows XP под двухядерные системы

По-видимому, Windows XP2 автоматически не распознает, на каком процессоре - двухядерном или нет - она устанавливается, так что настройка должна быть сделана вручную


22.10.2017 23:11

Что делать пользователям Windows 7 после прекращения поддержки?

Если к этому времени большинство пользователей по-прежнему будут использовать Windows 7, то они останутся с устаревшей операционной системой, для которой больше не будут выпускаться никакие обновления, в том числе связанные с безопасностью


» Оставьте первым свой комментарий

Все рубрики статей (2494 / 13):


Реклама | Статистика | Рейтинги | Авторам
Copyright © 1999-2023 Softodrom.ru
О проекте | О перепечатках | Рассылки | Пользовательское соглашение | Политика конфиденциальности | Карта сайта
Яндекс.Метрика