Microsoft устранила 16 критических уязвимостей

Январский набор обновлений включает патч для уязвимости в Microsoft Office, активно используемой в атаках.

Публикация уязвимостей Meltdown и Spectre уже сделала январь весьма жарким месяцем для специалистов Microsoft по подготовке исправлений. Традиционный «вторник патчей» корпорация отметила выпуском заплат для десятков других брешей, в том числе в Microsoft Edge, Windows, Office, ASP.NET и версии Office для macOS.

Шестнадцать патчей из нового набора от Microsoft устраняют критические уязвимости, 38 помечены как важные, а один — как низкой важности. Двадцать исправленных ошибок потенциально могли повлечь удаленное исполнение произвольного кода.

«В этом месяце Майкрософт выпустила «вторничные» патчи несколько раньше обычного: обновления для операционной системы появились уже на прошлой неделе», — комментирует Крис Гётль (Chris Goettl), менеджер по продуктам компании Ivanti.

По его словам, на прошлой неделе Microsoft выпустила внеплановые обновления с исправлениями для трех уязвимостей Meltdown и Spectre, позволяющих осуществить атаку по стороннему каналу на механизм спекулятивного выполнения инструкций.

«С этими дополнениями общее число уязвимостей (CVE), закрытых Microsoft в январе, достигло 55. В их число входят четыре опубликованных CVE и одна, замеченная в атаках» — подытожил Гётль.

Джимми Грэм (Jimmy Graham), директор по управлению продукцией компании Qualys, отметил, что в текущем месяце Microsoft впервые приостановила развертывание патчей для некоторых систем AMD, а прочие обновления оказались несовместимыми со сторонними антивирусными программами.

«Пользователи не получат обновления для систем безопасности за январь 2018 года (как и все последующие) и не будут защищены от уязвимостей, если поставщик их антивирусного ПО не добавит следующий раздел реестра», — объявила Microsoft в бюллетене по безопасности от 3 января.

Также Грэм предупреждает, что исправления на уровне операционной системы и BIOS (микропрограмм), призванные ограничить воздействие уязвимостей Meltdown и Spectre, могут привести к проблемам с производительностью ЦП.

В список активно атакуемых попала уязвимость повреждения памяти в Microsoft Office (CVE-2018-0802), позволяющая, согласно данным Microsoft, удаленно запустить выполнение кода, когда программе не удается правильно обработать объекты в памяти. Если злоумышленник убедит жертву открыть специально созданный документ Office, он сможет захватить контроль над системой.

Также Майкрософт исправила уязвимость CVE-2018-0786 в .NET Framework (и .NET Core), которая препятствует выполнению полной проверки сертификатов. «Злоумышленник может предоставить сертификат, который будет обозначен как недействительный для определенного использования, однако компонент все равно использует его для этой цели. При этом метки расширенного использования ключа не учитываются», — пишет Microsoft.

«Это определенно ошибка именно такого типа, о каких мечтают создатели вредоносного ПО: она позволяет выдать их недействительные сертификаты за действительные» — пишет в своем анализе вторничных патчей Zero Day Initiative.

Уязвимость CVE-2018-0819 в Office для macOS, внесенная в список известных на момент выпуска патча, открывала возможность для спуфинга. Эта проблема, характерная для некоторых версий Microsoft Office для Mac, возникала при кодировке и отображении адресов электронной почты. В описании Microsoft указано, что «неправильная обработка и отображение могут привести к нарушению нормальной работы антивирусных и антиспамовых сканеров».

В понедельник Apple выпустила обновление iOS 11.2.2 для устройств iPhone, iPad и iPod touch для нейтрализации уязвимостей Spectre. Кроме того, вышло дополнительное обновление macOS High Sierra 10.13.2, которое снижает вероятность атаки Spectre через браузер Safari и движок WebKit, используемый Safari, Apple Mail и App Store.

Ваш голос учтён!

нравится

не нравится

Рейтинг:

0

Всего голосов: 0

Новые материалы в Разное:

RuStore открыл доступ иностранным разработчикам   // 08 февраля

CISA опубликовало декриптор в помощь жертвам шифровальщика ESXiArgs   // 08 февраля

Google обещает блюрить непристойные и жестокие картинки поиска   // 08 февраля

Бизнес предлагает продавать алкоголь по 2FA   // 08 февраля