Három kritikus hibajavítás a patch-keddi csomagban
A Microsoft tegnap kiadta menetrend szerinti frissítőcsomagját. A májusi patch-kedd javításai között három került kritikus besorolásba, a frissítések többsége távoli kódfuttatási vagy jogosultságemeléses hibát orvosol.
A nyár végén megjelenő Windows 10 kapcsán a Microsoft alaposan átgyúrja majd rendszerfrissítési gyakorlatát – az új metódust részletesen múlt héten ismertettük – de addig is, amíg ez bekövetkezik, velünk maradnak a megszokott patch-keddek, azaz a hónap második keddjén kiadott biztonsági frissítőcsomagok.
Tegnap tizenhárom javítást adott ki a vállalat, ezek közül három kapott kritikus besorolást, azaz ezek olyan hibákat foltoznak, melyek kihasználásával rosszindulatú támadók a felhasználó közbeavatkozása nélkül futtathatnak távolról kódot a kompromittált számítógépeken. A Microsoftnak nincs tudomása arról, hogy ezt a három sérülékenységet aktívan kihasználnák, de – ahogy a kritikus javítások esetében mindig – a lyukakat befoltozó patch-ek azonnali telepítését javasolja.
Ünnepi mix a bértranszparenciától a kódoló vezetőkig Négy IT karrierrel kapcsolatos, érdekes témát csomagoltunk a karácsonyfa alá.
Az MS15-043 összesen 22 Internet Explorer hibát orvosol a böngésző 6-ostól 11-esig terjedő verzióiban, melyek többsége memóriakorrupcióra ad lehetőséget, és Windows Server 2003 Service Pack 2-től Windows Server 2012 R2-ig valamint Windows 8.1-ig minden operációs rendszeren kihasználhatóak.
Az MS15-044 a TrueType és OpenType renderelő motorokban található hibákat javítja, melyek segítségével az előbbit beavatkozás nélküli távoli kódfuttatásra lehet felhasználni a Windowson a .NET framework különböző verzióin, továbbá Office 2007 SP3 és 2010 SP2, Lync 2010 és 2013 valamint Silverlight 5-ön keresztül. Az utolsó kritikus javítás (MS15-045) az elenyészően kevesek által használt Windows Journal jegyzetelő alkalmazást érinti, és megakadályozza, hogy egy támadási célokra szánt dokumentum megnyitásakor távoli, további beavatkozás nélküli kódfuttatásra legyen lehetőség.
A további tíz javítás mind fontos besorolást kapott, azaz ezeket is érdemes telepíteni, bár itt a távoli kódfuttatáshoz már a felhasználó aktív közreműködése (figyelmeztetések, jóváhagyások elfogadása) is szükséges. Ezek közül kettőt lehet ténylegesen, önmagában is távoli kódfuttatásra használni, a többi “csak” egy összetettebb támadás egyik építőkockájaként szolgálhat: jogosultságemelés elérésére, biztonsági funkciók átlépésére, illetve DoS (denial of service) támadásra.