r   e   k   l   a   m   a
r   e   k   l   a   m   a

Lutowe łatki Microsoftu: nie trzeba otwierać załączników, wystarczy sam podgląd maila

Strona główna AktualnościBEZPIECZEŃSTWO

Jeśli jakość lutowych łatek bezpieczeństwa dla produktów Microsoftu równie marna, co w styczniu, to chyba wielu użytkowników Windowsa zdecyduje się w końcu wyłączyć automatyczne aktualizacje przez Windows Update. W styczniu dziesiątki, a może setki tysięcy maszyn z procesorami AMD po aktualizacjach wyświetliły jedynie niebieski ekran śmierci. Ale przecież znany ekspert Brian Krebs już kilka dni temu pisał, że należy spodziewać się wielu krytycznych poprawek luk pozwalających na zdalne ataki. Wybór między komputerem-cegłą, a komputerem-zombie jest dość trudny – mamy nadzieję, że tym razem nie będzie konieczny.

Tym razem Microsoft wydał w drugi wtorek miesiąca 50 łatek, obejmujących Windowsa, przeglądarki Internet Explorer i Microsoft Edge, silnik skryptowy ChakraCore i pakiet biurowy Microsoft Office. Z tych 50 łatek 14 uznano za krytyczne, 34 za poważne, a dwa za umiarkowane. Jeden z załatanych błędów był znany publicznie, jak jednak firma z Redmond twierdzi, nie był aktywnie wykorzystywany do ataków.

Zacznijmy więc od tego publicznie znanego: CVE-2018-0771 dotyczy Microsoft Edge, a konkretnie obsługi żądań z różnych źródeł. Odpowiednio spreparowana strona internetowa może obejść ograniczenia Same-Origin Policy i dopuścić żądania, które mogą zmusić przeglądarkę do wysłania danych, których normalnie by nie ujawniła. Eksperci z Zero Day Initative twierdzą, że taka podatność, interesująca z technicznego punktu widzenia, może znaleźć zastosowanie przede wszystkim w bardzo precyzyjnych atakach przeciwko znanym celom.

r   e   k   l   a   m   a

Najbardziej spektakularną z luk załatanych w lutowym cyklu jest jednak CVE-2018-0852. Dotyczy ona klienta poczty Microsoft Outlook i pozwala na naprawdę spektakularny atak. Otóż można ofierze wysłać uzłośliwionego e-maila, który uruchomi zdalnie kod bez konieczności jakiegokolwiek klikania – wystarczy że ofiara zobaczy go w widoku podglądu. W najbliższych tygodniach spodziewajmy się prawdziwej rzezi w w tych wszystkich organizacjach, gdzie pracownicy namiętnie korzystają z Outlooka. Ciekawostką tu jest to, że odkrycie tej luki Microsoft zatrudnia Nicolasowi Joly’emu, zwycięzcy jednej z edycji konkursu Pwn2own, który później poszedł dla Microsoftu pracować.

Drugi ważny błąd w Outlooku to CVE-2018-0850. Pozwala on na podwyższenie uprawnień dla złośliwego kodu. Odpowiednio spreparowany e-mail może zmusić microsoftowego klienta poczty do załadowania magazynu wiadomości lokalnie lub zdalnie po protokole SMB. Niby nic strasznego, tyle że Outlook robi to w momencie odebrania wiadomości. Tak, nie kliknięcia, nie wyświetlenia, lecz po prostu samego odebrania. W połączeniu z poprzednią luką można spodziewać się całkiem wyrafinowanych ataków przez pocztę na organizacje.

Za krytyczne zagrożenie dla systemów Microsoftu uznano też lukę CVE-2018-0825 w bibliotece Windows StructuredQuery – wysłany ofierze spreparowany plik pozwala na zdalne uruchomienie kodu, oraz łącznie jedenaście luk w silniku skryptowym używanym przez przeglądarki Microsoftu. Jak zwykle w takich wypadkach, złośliwa strona internetowa może uszkodzić pamięć przeglądarki, by wykonać swój własny kod na komputerze ofiary.

Tyle, jeśli chodzi o problemy krytyczne. Na liście poważnych jest w tym miesiącu 38 luk, dotyczących kernela Windowsa, silnika fontów, kontenera aplikacji, systemu logowania, usług przechowywania danych i systemu plików NTFS. Pozwalają one na podwyższenie uprawnień, wycieki kodu, a nawet ucieczkę z kontenera aplikacji. Nie wygląda to za ciekawie, wiele z tych luk musi być załatanych na niskim poziomie – oby bez negatywnych konsekwencji dla stabilności systemu.

Warto zastanowić się też nad łatkami Adobe. Jedna z nich jest szczególnie ważna, łata bowiem lukę 0-day w odtwarzaczu Flash, odkrytą i aktywnie używaną przez północnokoreańskich hakerów. Nowsze łatają podatności w Adobe Acrobacie, Adobe Readerze i Adobe Experience Managerze.

Przydatne linki

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.