Microsoft-ov "patch utorkom": 10 ispravki za 34 ranjivosti

Vesti, 10.06.2010, 00:24 AM

Microsoft-ov

Prošle nedelje smo najavili da će ovomesečno Microsoft-ovo ažuriranje prvog utorka u mesecu biti obimno jer donosi 10 ispravki za najmanje 34 dokumentovane ranjivosti.

Tri ažuriranja su označena kao „kritična“ zbog opasnosti od napada daljinskim izvršenjem koda. Pogođeni proizvodi OS Windows, MS Office, Internet Explorer i Internet Information Services (IIS).

Paket zakrpa za ovaj mesec obezbeđuje i zaštitu od poznatog cross-site scripting bug-a u Microsoft SharePoint Server i od propusta u Internet Explorer-u o kojem se javno raspravljalo a koji se tiče curenja podataka.

Microsoft apeluje na korisnike da posebnu pažnju obrate na ažuriranja MS10-033 (Windows), MS10-034 (ActiveX killbits) i MS10-035 (Internet Explorer) jer oni sadrže ispravke za probleme koje hakeri mogu da iskorišćavaju u skorijoj budućnosti.

Evo kratkog pregleda ova tri ažuriranja:

  • MS10-033 - Ovo ažuriranje rešava dve privatno prijavljene ranjivosti u Microsoft Windows. Ove ranjivosti mogu omogućiti daljinsko izvršenje koda ako korisnik otvori posebno napravljen media fajl ili primi posebno napravljen streaming sadržaj sa web sajta ili bilo koju aplikaciju koja isporučuje web sadržaj. Ovo je ocenjeno kao „kritično“ za Quartz.dll (DirectShow) na Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, and Windows Server 2008; „Kritično“ za Windows Media Format Runtime na Microsoft Windows 2000, Windows XP, i Windows Server 2003; „Kritično“ za Asycfilt.dll (COM komponenta) na Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, i Windows Server 2008 R2; i „Važno“ za Windows Media Encoder 9 x86 i x64 na Microsoft Windows 2000, Windows XP, Windows Server 2003, Windows Vista, i Windows Server 2008.

  • MS10-034 - Ovo ažuriranje odnosi se na dve privatno prijavljene ranjivosti za Microsoft-ov softver. Ovo ažuriranje je ocenjeno kao „kritično“ za sva podržana izdanja Microsoft Windows 2000, Windows XP, Windows Vista, i Windows 7, i „umereno“ za sva podržana izdanja Windows Server 2003, Windows Server2008, i Windows Server 2008 R2. Ove ranjivosti mogu omogućiti daljinsko izvršenje koda ako korisnik pomoću Internet Explorer-a pregleda posebno napravljenu web stranu sa specifičnim ActiveX control.

  • MS10-035 - Ispravke pet privatno prijavljenih ranjivosti i jedne javno objavljene ranjivosti u Internet Explorer-u. Njaozbiljnije ranjivosti mogu omogućiti daljinsko izvršenje koda ako korisnik pregleda posebno napravljenu web stranu koristeći pri tom Internet Explorer. Korisnici čiji su nalozi podešeni da imaju manje korisničkih prava na sistemu mogu biti manje pogođeni ovim od korisnika koji rade sa pravima administratora. Ovo sigurnosno ažuriranje nosi oznaku „kritično“ za Internet Explorer 6 Service Pack 1 na Microsoft Windows 2000 Service Pack 4; „Kritično“ za Internet Explorer 6, Internet Explorer 7, i Internet Explorer 8 za Windows korisnike; i oznaku „Umereno“ za Internet Explorer 6, Internet Explorer 7, i Internet Explorer 8 na Windows serverima.

Tehnički direktor Qualys-a, Wolfgang Kandek, primetio je da 4 od deset ažuriranja odnose na 'zero-day' pitanja, a najznačajnijim se čini MS10-035, koji popravlja 'zero-day' koji je objavio Core Security za ranjivost koja je prvobitno publikovana u februaru 2010. godine. Ovo ažuriranje takođe popravlja Pwn2Own ranjivost koju je iskoristio istraživač Peter Vreugdenhil što mu je donelo pobedu na ovogodišnjem hakerskom takmičenju CanSecWest Pwn2Own. Tokom tog takmičenja Vreugdenhil je premostio sve ugrađene zaštite kao što DEP i ASLR kombinujući nekoliko načina napada.

MS10-040 je takođe zanimljiv. On štiti od daljinskog iskorišćavanja ranjivosti u svim verzijama IIS, ali on je prisutan jedino ako administrator download-uje i instalira Channel Binding Update i omogući Windows Authentication. To dalje zahteva nalog na sistemu, smanjenje broja ranjivih host-ova na malu grupu. Microsoft je ovo ažuriranje označio kao „važno“.

Preuzeto sa


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Sajber kriminalci imaju novu taktiku - evo kako i zašto preko lažnih firmi zapošljavaju stručnjake za bezbednost

Sajber kriminalci imaju novu taktiku - evo kako i zašto preko lažnih firmi zapošljavaju stručnjake za bezbednost

Kriminalna grupa FIN7 otvorila je firmu koju koristi za angažovanje stručnjaka za sajber bezbednost, koji na prevaru sajber-kriminalcima zapravo pom... Dalje

Podaci miliona korisnika Instagrama i TikToka bili javno dostupni više od mesec dana

Podaci miliona korisnika Instagrama i TikToka bili javno dostupni više od mesec dana

Zbog nezaštićenog ElasticSearch servera koji pripada analitičkom sajtu IGBlade.com podaci preuzeti sa najmanje 2,6 miliona profila korisnika društ... Dalje

Jutjuberi čuvajte se prevaranata koji nude saradnju

Jutjuberi čuvajte se prevaranata koji nude saradnju

Prevaranti nude kreatorima sadržaja na YouTubeu saradnju da bi im pomoću malvera koji kradu lozinke ukrali naloge, objavila je Googleova grupa za an... Dalje

Istraživanje: U poslednjih pet godina hakeri promenili način rada i ciljeve

Istraživanje: U poslednjih pet godina hakeri promenili način rada i ciljeve

Kompanija Kaspersky objavila je istraživanje o aktivnostima ruskih sajber-kriminalaca i kako su se njihov način rada i ciljevi promenili u poslednji... Dalje

Rusija i SAD predale Generalnoj skupštini UN zajedničku rezoluciju o sajber bezbednosti

Rusija i SAD predale Generalnoj skupštini UN zajedničku rezoluciju o sajber bezbednosti

Rusija i Sjedinjene Države predložile su Generalnoj skupštini Ujedinjenih nacija zajedničku rezoluciju o odgovornom ponašanju država u sajber pr... Dalje