Biuletyn bezpieczeństwa Microsoft 10/2016

Znamy już zawartość październikowych biuletynów bezpieczestwa Microsoftu . Mogłoby się wydawać, że nie jest najgorzej – wyszło ich zaledwie 10, z czego pięć określono jako krytyczne, a cztery jako ważne. Uwaga jednak: tym razem mamy do czynienia ze sporą liczbą luk 0-day, które są już wykorzystywane przez cyberprzestępców, więc nie macie specjalnie wyjścia. Albo zbiorcze aktualizacje dla swoich systemów zainstalujecie, albo pozostaje Wam czekać na darmowe podłączenie do botnetu.

Pierwszym z krytycznych biuletynów jest MS16-118. Naprawia on jedenaście luk w Internet Explorerze, z których jedna, CVE-2016-3298, jest już aktywnie wykorzystywana w złośliwych kampania reklamowych, m.in. w AdGholas. Ze szczegółami możecie się zapoznać na blogu firmy Proofpoint, tuu jedynie powiemy, że luka ta pozwala na wydobycie wrażliwych danych z przeglądarki, które będzie można wykorzystać w innych atakach. Pozostałe luki dotyczą problemów z obsługą pamięci oraz podwyższenia uprawnień dla systemowych procesów.

Drugi biuletyn, MS16-119, dotyczy oczywiście Microsoft Edge. Tym razem łata on aż 13 luk, z czego siedem dotyczy błędów w obsłudze pamięci, dwie zagrażają podwyższeniem uprawnień, dwie wyciekiem wrażliwych danych, jedna obejściem zabezpieczeń i jedna zdalnym uruchomieniem kodu. I właśnie ta jedna, znajdująca się w silniku skryptowym Edge i oznaczona jako CVE-2016-7189, jest aktywnie exploitowana przez kilka szkodników i sprzedawana na hakerskich forach za ok. 10 tys. dolarów.

Biuletyn MS16-120 obejmuje luki różnych wersjach Windowsa, Office 2007 i 2010, wszystkich wersjach .NET Frameworka i Silverlighta, a także Skype for Business oraz Lynca 2010 i 2013. Problem dotyczy Windows Graphics Component, GDI+ oraz True Type Font Parsing. Luka CVE-2016-3393 związana jest więc z błędem w przetwarzaniu fontów – taki font, osadzony np. na stronie internetowej, może być nośnikiem złośliwego kodu. Nie tylko zresztą może być, ale i jest, luka jest aktywnie exploitowana.

MS16-122 dotyczy ostatniej z odkrytych tym razem luk 0-day w Windowsach i ich oprogramowaniu systemowym. Tym razem poszło o kontrolkę Microsoft Video Control. Luka CVE-2016-0142 dotyczy błędów w obsłudze obiektów w pamięci i pozwala każdemu, kto spreparuje dane dla tej kontrolki ActiveX uruchomić swój własny kod przez bibliotekę DirectShow. Odkryto już exploity w naturalnym środowisku Windowsów.

Na tym nie koniec. Także Microsoft Office doczekało się swojej luki 0-day. Biuletyn MS16-121 (co ciekawe, oznaczony zaledwie jako „ważny”) dotyczy błędu w obsłudze pamięci podczas otwierania plików RTF, oznaczonego jako CVE-2016-7193, i pozwalającego na zdalne uruchomienie kodu. Problem dotyczy wszystkich wersji Microsoft Office od 2007 do 2016, nie tylko na Windowsa ale też i Maka, jak również całej gamy narzędzi software’owych związanych z Office. Z jakiegoś powodu niektóre wersje Microsoft Worda 2010 nie dostaną tej łatki. Świetna wiadomość, szczególnie że exploity już są w sprzedaży.

Wrócmy jednak do samych Windowsów i pozostałych nie tak już krytycznych luk. MS16-123 dotyczy licznych podatności w sterownikach trybu kernela Windowsów, niektóre z nich można wykorzystać do podwyższenia uprawnień. MS16-124 to podwyższanie uprawnień poprzez Rejestr Windows. MS16-125 dotyczy zaś luki w Windows Diagnostics Hub Standard Collector Service, również pozwalającej na podwyższenie uprawnień. MS16-126 łata zaś lukę w Microsoft Internet Messaging API, pozwalającą na zdalne sprawdzenie obecności danego pliku na dysku – niezbyt groźne, ale już jest aktywnie exploitowane.

Jeśli już zainstalowaliście najnowsze zbiorcze paczki aktualizacyjne, możecie spać spokojnie. Wasze Windowsy właśnie stały się mniej dziurawe.

Za: dobreprogramy.pl