115 javítást és egy bakit hozott a márciusi patch kedd
A Microsoft véletlenül egy még javításra váró hibáról is közölt részleteket.
A március sem maradt patch kedd nélkül, a Microsoft tegnap szokás szerint kiadta havi biztonsági frissítéseit. A vállalat összesen mintegy 115 bugot javított, ugyanakkor a tatarozás közben egy fájdalmas hibába is belefutott, ugyanis véletlenül egy SMB sebezhetőség egyes részleteit is közzétette, amelyet a mostani patch-csomagban még nem orvosolt.
A CVE-2020-0796 kód alatt követett biztonsági rés a Fortinet biztonsági szakértői szerint egy puffertúlcsordulásos sebezhetőség, amelyet a támadók akár távolról, egy megfelelően preparált adatcsomag elküldésével is kihasználhatnak, hogy az alkalmazáson belül tetszőleges kódot futtathassanak. Szerencsére sok részlet nem derült ki az egyelőre még foltozásra váró bugról, valamint exploit kód sem látott napvilágot, így a szakértők szerint nem kell attól tartani, hogy a következő napokban azt széles körben elkezdenék kihasználni. Ugyancsak könnyebbséget jelenthet, hogy a hiba csak a protokoll legfrissebb verzióját, az SMBv3-at érinti, amely csak a Windows 10 v1903 és v1909, illetve a Windows Server v1903 és v1909 verziókban van jelen.
Ünnepi mix a bértranszparenciától a kódoló vezetőkig Négy IT karrierrel kapcsolatos, érdekes témát csomagoltunk a karácsonyfa alá.
A Windows 10-től az Azure DevOpsig számos termékben javított, összesen 115 bugból 26-ot ítélt kritikusnak a redmondi óriás, vagyis ezek azok a sebezhetőségek, amelyek nem csak súlyosak, de aránylag egyszerűen ki is használhatók. A Microsoft szerint a bugokból egy sem volt nyilvánosan ismert a javítás előtt, illetve arról sem tud a vállalat, hogy azokat aktívan kihasználták volna.
A pakkban négy, távoli kódfuttatást lehetővé tevő hiba javítása is ott van. Az első kettő, CVE-2020-0833, illetve CVE-2020-0824 kód alatt követett biztonsági rés az Internet Explorerben gyökerezik, ugyanakkor Threatpost által megszólaltatott szakértők szerint csak akkor használható ki, ha az áldozat rendszergazdai jogosultságokkal jelentkezett be az adott számítógépen. A harmadik ilyen hiba a Microsoft által is használt VBScript scriptnyelvben található, a CVE-2020-0847 kódot kapta és sikeresen kiaknázva közel teljes kontrollt adhat a támadóknak az eszközök fölött. Az utolsó ide sorolt hiba a Wordben található és egy megfelelően előkészített fájllal adhatja át a támadók kezébe a gyeplőt a rendszeren. A patch csomagot mindenkinek érdemes minél előbb telepíteni, a javított hibák teljes listájáért pedig érdemes felkeresni a Microsoft kapcsolódó oldalát.