Lutowe biuletyny Microsoftu: nie tylko Adobe ma problemy z PDF-em

Za nami kolejny drugi wtorek miesiąca, przed nami obowiązkowełatanie oprogramowania Microsoftu. W porównaniu do styczniowychbiuletynów bezpieczeństwa jest znacznie gorzej – poprawkidotyczą aż 41 luk w zabezpieczeniach. Są wśród nich lukipozwalające na zdalne ataki przez przeglądarki Internet Explorer iMicrosoft Edge, ale też z wykorzystaniem wbudowanej w systemwyświetlarki PDF-ów i pakietu Office.

Zacznijmy od krytycznego, zbiorczego biuletynu MS16-011,przeznaczonego dla użytkowników Windows 10. Rozwiązuje on problemyz nieprawidłowym parsowaniem odpowiedzi HTTP, co pozwala naprzekierowanie ofiary na stronę serwującą złośliwy kod.Poprawiono obsługę wyjątków przy przekazywaniu wiadomości dookienek – w pewnych okolicznościach napastnik mógł wykorzystaćto do obejścia zabezpieczeń randomizacji przestrzeni adresowej(ASLR). Usunięto też liczne błędy w uzyskiwaniu dostępu doobiektów w pamięci, co pozwalało na uruchomienie własnego kodu zuprawnieniami zalogowanego użytkownika.

Pod numerkiem MS16-009(nie wiemy dlaczego – MS16-010 jest łatką jeszcze ze stycznia)udostępniono zestaw łatek dla Internet Explorera, dotyczącychprzestrzegania polityk bezpieczeństwa międzydomenowego, obsługiobiektów w pamięci, walidacji przy linkowaniu i osadzaniu obiektówprzy ładowaniu bibliotek i parsowaniu odpowiedzi HTTP. Błędy teokreślono jako krytyczne – pozwalają na zdalne uruchomienie koduna komputerze ofiary.

Do luk w przeglądarkach Microsoftu zdążyliśmy sięprzyzwyczaić. MS16-012mówi jednak o niepoprawnej obsłudze interfejsu programowania wWindows PDF Library. Doprowadzenie do przepełnienia bufora pozwalana uruchomienie złośliwego kodu osadzonego w spreparowanychdokumentach PDF, otwieranych w Windows Readerze.

Jeśli ktoś korzysta z systemu notatek Windows Journal, to zbiuletynu MS16-013dowie się, że i notatka może pozwolić na uruchomienie złośliwegokodu. Dotknięte tym są praktycznie wszystkie wersje Windowsów, odVisty po 10. Problem dotyczy błędów w parsowaniu plików znotatkami, odpowiednio spreparowana notatka może zawierać złośliwykod, który zostanie uruchomiony.

Idziemy teraz w głąb, do samego systemu. Zbiorczy biuletynMS16-014określono jako „ważny”. Dotyczy problemów z niewłaściwąobsługą obiektów w pamięci, pozwalających na Windows Vista i 7uzyskanie uprawnień administracyjnych, niepoprawej walidacji danychna wejściu przed ładowaniem plików DLL, pozwalających nauruchmienie kodu z uprawnieniami zalogowanego użytkownika,podatności na zdalny atak Denial of Service usługi SyncShareSvc,oraz możliwości obejścia uwierzytelnienia przez mechanizm Kerberosi w konsekwencji odszyfrowania dysków chronionych BitLockerem. Toostatnie przypomina nieco MS15-122z zeszłego roku, kiedy to pokazano, jak wykorzystać złośliwykontroler domeny do oszukania systemu uwierzytelniania Windowsów.

Poprawki z zeszłego miesiąca dla Remote Desktop Protocolnajwyraźniej nie wystarczyły! Biuletyn MS16-017mówi o możliwości zalogowania się do Windowsów po RDP – i wtrakcie tego logowania wysłania odpowiednio spreparowanych pakietów,co pozwala na podwyższenie uprawnień (nawet do poziomuadministratora) i zdalne uruchomienie złośliwego kodu. Na szczęściedomyślnie w systemie RDP jest wyłączony. Podobny problem dotyczyprotokołu WebDAV, biuletyn MS16-016wspomina o możliwości uprawnień dla uwierzytelnionychużytkowników, oraz sterowników trybu kernela (MS16-018)

Łącznie sześć błędów związanych z obsługą pamięci przezMicrosoft Office obejmuje biuletyn MS16-015.Dotyczą one praktycznie wszystkich wersji tego pakietu biurowego, cogorsza nie tylko na Windowsy, ale też na Maki. O ile poprawka dla„okienek” została wydana, użytkownicy Maków nie dostalijeszcze niczego (otrzymają powiadomienie, gdy łatki będądostępne). Miejmy nadzieję, że nastąpi to zanim hakerzy metodamiodwrotnej inżynierii zlokalizują te błędy. Sytuacja jest groźna,gdyż wykorzystanie tych luk pozwala na uruchomienie osadzonego wdokumencie dowolnego kodu z uprawnieniami zalogowanego użytkownika.

Finalnie należy wspomnieć o trzech biuletynach MS16-019,MS16-020oraz MS16-021,związanych z podatnościami na ataki Denial-of- Service w .NETFrameworku, Windows Serverze 2012 R2 oraz serwerze uwierzytelnianiasieci Radius.

Biorąc pod uwagę rozmiar opisanego tu oprogramowania, Microsoftnie jest jeszcze taki zły. W wydanych wczoraj łatkachdla samego tylko Flash Playera, Adobe załatało 22 luki. Wszystkieone pozwalają na zdalny atak. Ktoś jeszcze chce używać Flasha wimię tych wszystkich fajnych gierek webowych?