12.11.2015, 05:57
Zapewne czekaliście z niecierpliwością na jesienną aktualizację Windows 10, dzięki której system ten (by zacytować klasyka) wreszcie zacznie się nadawać do poważnej pracy, ale póki co musicie obejść się smakiem. Zamiast spodziewanego Threshold 2, Microsoft wydał w terminie swoje listopadowe biuletyny bezpieczeństwa. Tym razem jest ich 12, z czego cztery oznaczono jako krytyczne zaś osiem jako ważne. Oto, co nas czeka, jeśli łatek nie zainstalujemy:
Pierwszy z biuletynów to MS15-112, zawierający zbiorczą aktualizację dla wszystkich wersji Internet Explorera (od IE7 po IE11). Usuwa ona podatności związane z błędną obsługą obiektów w pamięci i niewłaściwym wykorzystaniem zabezpieczenia ASLR, za sprawą których możliwe było zdalne uruchomienie kodu na komputerze ofiary, która odwiedziłaby stronę zawierającą złośliwy kod JavaScriptu.
Następny biuletyn to MS15-113, który przeznaczony jest dla przeglądarki Microsoft Edge – i najwyraźniej wiąże się z tą samą niedoróbką co MS15-112. Trudno, by było inaczej, może i Edge nie jest Explorerem, ale też nie jest całkiem nową przeglądarką, ze swoim przodkiem współdzieli niemało kodu.
W biuletynie MS15-114 rozwiązano problem z przeznaczonym do tworzenia notatek i zarządzania nimi programem Windows Journal. Okazało się, że po ze względu na błąd w parsowaniu plików z danymi programu (z rozszerzeniem .jnt), można spreparowaną notatką wymusić przepełnienie sterty i uruchomić dowolny kod z uprawnieniami zalogowanego użytkownika – w tym oczywiście administratora.
Ostatnim krytycznym biuletynem jest MS15-115, który pozwala na zdalne uruchomienie kodu, wykorzystując liczne błędy w jądrze Windows, związane z obsługą obiektów w pamięci i możliwością obejścia mechanizmu randomizacji przestrzeni adresowej, oraz błędów związanych z biblioteką Adobe Type Manager Library. Dzięki tym błędom można zaatakować wszystkich użytkowników, którzy odwiedzą strony internetowe zawierające osadzone fonty ze złośliwym kodem, lub otworzą wysłane im odpowiednio spreparowane dokumenty.
Poważne błędy pozwalające na uruchomienie złośliwego kodu znaleziono także w Microsoft Office (MS15-116), z kolei usterki w interfejsie programowania aplikacji dla kart sieciowych NDIS (MS15-117), framewerku .NET (MS15-118) oraz bibliotece Winsock (MS15-119) pozwalały na podwyższenie uprawnień już uruchomionych procesów. Z kolei usterki w implementacji protokołu IPSec (MS15-120) pozwalały na atak Denial of Service, zaś błąd (MS15-121) w Transport Layer Security pozwalał na ataki man-in-the-middle i podsłuch użytkownika.
Naprawiono też podatność w mechanizmie uwierzytelniania Kerberos (MS15-122), pozwalającą na odszyfrowanie dysków chronionych Bitlockerem oraz możliwość wydobycia poufnych informacji (MS15-123) z klientów Skype for Business oraz Microsoft Lync. Problemy znaleziono też w hiperwizorze Hyper-V – działająca w nim maszyna wirtualna mogła „zadławić” system operacyjny gospodarza.
Jak widać, i w tym miesiącu nie było lekko. Co prawda to nie są 33 błędy załatane w październiku, ale i tak zakres, jaki obejmują biuletyny listopadowe na tyle poważny, że najwyższy czas wziąć się za Windows Update i po raz kolejny połatać „okienka”.
Pierwszy z biuletynów to MS15-112, zawierający zbiorczą aktualizację dla wszystkich wersji Internet Explorera (od IE7 po IE11). Usuwa ona podatności związane z błędną obsługą obiektów w pamięci i niewłaściwym wykorzystaniem zabezpieczenia ASLR, za sprawą których możliwe było zdalne uruchomienie kodu na komputerze ofiary, która odwiedziłaby stronę zawierającą złośliwy kod JavaScriptu.
Następny biuletyn to MS15-113, który przeznaczony jest dla przeglądarki Microsoft Edge – i najwyraźniej wiąże się z tą samą niedoróbką co MS15-112. Trudno, by było inaczej, może i Edge nie jest Explorerem, ale też nie jest całkiem nową przeglądarką, ze swoim przodkiem współdzieli niemało kodu.
W biuletynie MS15-114 rozwiązano problem z przeznaczonym do tworzenia notatek i zarządzania nimi programem Windows Journal. Okazało się, że po ze względu na błąd w parsowaniu plików z danymi programu (z rozszerzeniem .jnt), można spreparowaną notatką wymusić przepełnienie sterty i uruchomić dowolny kod z uprawnieniami zalogowanego użytkownika – w tym oczywiście administratora.
Ostatnim krytycznym biuletynem jest MS15-115, który pozwala na zdalne uruchomienie kodu, wykorzystując liczne błędy w jądrze Windows, związane z obsługą obiektów w pamięci i możliwością obejścia mechanizmu randomizacji przestrzeni adresowej, oraz błędów związanych z biblioteką Adobe Type Manager Library. Dzięki tym błędom można zaatakować wszystkich użytkowników, którzy odwiedzą strony internetowe zawierające osadzone fonty ze złośliwym kodem, lub otworzą wysłane im odpowiednio spreparowane dokumenty.
Poważne błędy pozwalające na uruchomienie złośliwego kodu znaleziono także w Microsoft Office (MS15-116), z kolei usterki w interfejsie programowania aplikacji dla kart sieciowych NDIS (MS15-117), framewerku .NET (MS15-118) oraz bibliotece Winsock (MS15-119) pozwalały na podwyższenie uprawnień już uruchomionych procesów. Z kolei usterki w implementacji protokołu IPSec (MS15-120) pozwalały na atak Denial of Service, zaś błąd (MS15-121) w Transport Layer Security pozwalał na ataki man-in-the-middle i podsłuch użytkownika.
Naprawiono też podatność w mechanizmie uwierzytelniania Kerberos (MS15-122), pozwalającą na odszyfrowanie dysków chronionych Bitlockerem oraz możliwość wydobycia poufnych informacji (MS15-123) z klientów Skype for Business oraz Microsoft Lync. Problemy znaleziono też w hiperwizorze Hyper-V – działająca w nim maszyna wirtualna mogła „zadławić” system operacyjny gospodarza.
Jak widać, i w tym miesiącu nie było lekko. Co prawda to nie są 33 błędy załatane w październiku, ale i tak zakres, jaki obejmują biuletyny listopadowe na tyle poważny, że najwyższy czas wziąć się za Windows Update i po raz kolejny połatać „okienka”.
Za: dobreprogramy.pl