Video: How to Stop Internet Explorer IE from Redirecting Page to Microsoft Edge on Windows 10 (Listopad 2024)
Správci systému Windows s jarní horečkou se mohou radovat; Společnost Microsoft vydala pouze dvě kritické bulletiny jako součást svého úterního vydání Patch.
Z devíti bulletinů vydaných tento měsíc jsou pouze dva hodnoceny jako kritické, což znamená, že útočník může získat kontrolu nad cíleným počítačem na dálku. Všechny zbývající jsou považovány za důležité, což meands útočník obecně potřebuje nějaký druh přístupu do systému před převzetím. Celkově vzato Microsoft tento měsíc řešil 13 bezpečnostních chyb.
Dobrou zprávou je, že většina dopadů je na základně starých kódů a ne na nejnovější verze produktů společnosti Microsoft, řekl Paul Henry, bezpečnostní analytik společnosti Lumension. "Pokud váš systém používá nejnovější a největší verze softwaru - jako byste měli vždy, protože nejnovější je obvykle nejbezpečnější - pak byste měli být tento měsíc minimálně ovlivněni, " uvedl.
IE jako nejvyšší priorita
Největší prioritou tohoto měsíce je aktualizace pro Internet Explorer (MS13-028), která opravuje problém po použití ve všech podporovaných verzích webového prohlížeče z IE 6 na IE 10, který, pokud bude využit, může vést ke vzdálenému spuštění kódu. Bulletin se také zabýval otázkou ochrany do hloubky, která se spoléhá na uživatele, kteří mají nainstalovanou Javu 6.0 nebo starší.
„Vzhledem k počtu problémů, které Java v poslední době měla, snad snad nikdo ještě nespouští staré verze Java, “ varoval Henry.
Index priority je pouze 2, což znamená, že oprava využití není přímá, takže Microsoft neočekává, že během příštích 30 dnů uvidí pracovní vykořisťování.
„Útočníci budou zkoumat, jak tyto dvě zranitelnosti zneužít, protože útočníci mohou zacílit na více verzí aplikace Internet Explorer pomocí pouze několika zranitelností, takže je důležité tuto opravu nasadit co nejdříve, “ řekl Marc Maiffret, CTO společnosti BeyondTrust.
Společnost Microsoft stále neopravila nulovou chybu zabezpečení odhalenou během soutěže Pwn2Own na konferenci CanSecWest ve Vancouveru minulý měsíc.
Vzdálená plocha opět ohrožena
Druhou prioritou by měla být oprava ovládacího prvku ActiveX klienta Remote Desktop Client (MS13-029), který ovlivňuje všechny verze Windows a „nejde o typ problému, který obvykle vidíme v Windows RDP, “ řekl Henry.
Útočníci mohou tuto chybu zabezpečení zneužít tím, že obětují lákavé návštěvy webových stránek, které hostují nebezpečné ovládací prvky ActiveX. Jakmile návštěvník přistane na webu, kód zneužije tuto chybu zabezpečení, aby získal schopnost provádět libovolný kód, jako by to byl uživatel, poznamenal Maiffret.
„Zatímco ovládací prvky ActiveX mohou být součástí většiny programů Windows, nejpravděpodobnějším vektorem útoku je webový prohlížeč, “ řekl Wolfgang Kandek, CTO společnosti Qualys.
„Důležité“, ale nikoli „kritické“
Odborníci na bezpečnost také tento měsíc označili několik dalších „důležitých“ bulletinů, aby jim věnovali zvláštní pozornost. Odmítnutí chyby služby ve službě Active Directory (MS13-032) by mělo být „vysoko na seznamu podnikových instalací, “ řekl Kandek. Útočníci by mohli poslat škodlivý dotaz LDAP, který by spustil chybu zabezpečení, což by vyčerpalo paměť systému a způsobilo odmítnutí služby.
Zvýšení problému s oprávněními, které ovlivňuje Microsoft InfoPath, Groove Server, SharePoint Foundation a Server, a „Office Web Apps 2010“ (MS13-035) by také mělo být na prvním místě, protože řeší problém v rámci komponenty Sanitizace HTML, která je v těchto balíčky, řekl Ross Barrett, senior manažer bezpečnostního inženýrství v Rapid7. Pokud budou útočníci úspěšně zneužiti, budou moci běžně provádět skripty, které nejsou povoleny, číst omezená data a provádět neoprávněné akce s oprávněním oběti.
Ačkoli zranitelnost nebyla zveřejněna, zdá se, že cílené útoky ji již ve volné přírodě využívají.
Microsoft není největší strach
Microsoft už dlouho nebyl primárním zdrojem bolesti hlavy v IT. Společnost Adobe dnes ve svém přehrávači Flash Player opravila osm problémů a správci IT by se měli připravit na novou aktualizaci Java, která je naplánována na 16. dubna. Očekává se, že společnost Oracle v této verzi řeší řadu kritických zranitelností.
