Biuletyn bezpieczeństwa Microsoft 01/2016

Pierwszy w tym roku zestaw biuletynów bezpieczeństwa od Microsoftu nie rozczarowuje. Wśród 25 załatanych luk możemy znaleźć prawdziwe perełki, które choć jak producent Windows utrzymuje nie zostały jeszcze wyexploitowane, to niewątpliwie już niebawem posłużą do nowych ataków. Jak na razie u nas aktualizacja przebiegła bezproblemowo, więc zachęcamy Was do szybkiej instalacji. Użytkownicy starszych wersji „okienek” powinni jednak uważać – Microsoft najwyraźniej ulepszył swoje narzędzia do promowania Windowsa 10, zmiany w rejestrze mogą nie wystarczyć już do ich wyłączenia.

Tym razem nie będzie po kolei. Najbardziej interesujący wśród styczniowych biuletynów wydaje się MS16-007, naprawiający łącznie sześć luk w Windowsach, związanych z walidacją danych przed załadowaniem bibliotek DLL, uwierzytelniania formularzy przez DirectShow i zdalnego logowania do kont bez haseł. Tak, dobrze czytacie. Windows 10 Remote Desktop Protocol pozwalał napastnikom na zdalne zalogowanie się do profili użytkowników bez haseł. Normalnie RDP dla takich kont jest zablokowany, jednak z jakiegoś powodu w „dziesiątce” było inaczej.

Nie obyło się bez poprawek dla Internet Explorera (MS16-001) i Microsoft Edge (MS16-002). Ta pierwsza jest prawdopodobnie ostatnią, którą starsze wersje IE otrzymają, dotyczy problemów z obsługą obiektów w pamięci przez silnik JavaScriptu i przestrzeganiu polityk cross-domain, a jej wykorzystanie pozwala na zdalne uruchomienie złośliwego kodu. Edge miało podobne problemy, przede wszystkim w silniku skryptowym Chakra, co i w tym wypadku pozwalało na zdalne urchomienie złośliwego kodu. Podobne (a może i te same) błędy dotyczą niezależnego systemowego silnika VBScriptu i JScriptu, rozwiązano je w poprawkach z biuletynu MS16-003.

Czwarty z kolei biuletyn (MS16-004) dotyczy Microsoft Office'a w wersjach od 2007 do 2016. Błędy w implementacji randomizacji przestrzeni adresowej, obsłudze obiektów w pamięci i przestrzeganiu ustawień polityk kontroli dostępu pozwoliły na zdalne uruchomienie złośliwego kodu z uprawnieniami zalogowanego użytkownika, który osadzić można w pliku dokumentu tego pakietu biurowego. Nie ma to jak multiplatformowość: zagrożeni są też użytkownicy Maków, korzystający z Office 2011 i 2016 na swoich komputerach.

MS16-005 jest poprawką dla dwóch usterek w Windowsach, z których jedna pozwala na zdalne uruchomienie kodu na komputerze ofiary, która odwiedziła odpowiednio spreparowaną stronę internetową, druga zaś dotyczy eskalacji uprawnień takiego procesu. Najbardziej zagrożeni są w tym wypadku użytkownicy Visty i Windows 7, w pozostałych wersjach okienek dojść może jedynie do ujawnienia wrażliwych danych. A gdzie tkwił błąd? Tym razem zawiniła biblioteka GDI (graphics device interface), odpowiedzialna za przedstawienie obiektów graficznych i dostarczenie ich na urządzenia wyjściowe.

Kolejny multiplatformowy błąd łatany jest przez MS16-006. Dotyczy on Silverlighta, nie tylko na Windowsie, ale też na OS-ie X. Zachęcając użytkownika do odwiedzenia odpowiednio spreparowanej witryny z treściami w Silverlighcie można uruchomić u niego złośliwy kod. Problem dotyczy możliwości podmiany nagłówków obiektów przetwarzanych przez złośliwy dekoder nagłówkami dostarczonymi przez napastnika.

Warty uwagi jest też biuletyn MS16-008. Przynosi on łatkę na luki, które umożliwiały wykorzystanie punktów montowania systemu plików do eskalacji uprawnień, pozwalając napastnikowi uruchomić swój kod z uprawnieniami administratora. Z jakiegoś powodu nie ma biuletynu MS16-009 (czyżby został w ostatniej chwili wycofany?), jest za to biuletyn MS16-010, naprawiający luki w serwerze poczty Exchange (wersje 2013 i 2016), który niewłaściwie obsługując żądania webowe pozwalał na wydobycie wrażliwych informacji użytkowników i uruchomienie u nich ataków skryptowych.

Pojawiły się niestety też informacje, że wraz z instalacją nowych biuletynów użytkownicy starszych Windowsów mogą dostać nową łatkę, która dwa razy dziennie resetuje w rejestrze ustawienia flagi [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\
WindowsUpdate\OSUpgrade\AllowOSUpgrade] do wartości 1, co sprawia, że programy takie jak GWX Control Panel, używane do zablokowania nagabywań o aktualizacji do Windowsa 10, przestają być skuteczne. Jeszcze tej łatki nie przyłapaliśmy, ale będziemy śledzić tę sprawę i szukać rozwiązań, tak by jednak w tej zabawie w kotka i myszkę z przymusową darmową aktualizacją to użytkownik wygrał, a nie Microsoft.