Lutowe łatki Microsoftu: nie trzeba otwierać załączników, wystarczy sam podgląd maila

Lutowe łatki Microsoftu: nie trzeba otwierać załączników, wystarczy sam podgląd maila14.02.2018 12:19

Jeśli jakość lutowych łatek bezpieczeństwa dla produktówMicrosoftu równie marna, co w styczniu, to chyba wielu użytkownikówWindowsa zdecyduje się w końcu wyłączyć automatyczneaktualizacje przez Windows Update. W styczniu dziesiątki, a możesetki tysięcy maszyn z procesorami AMD po aktualizacjach wyświetliłyjedynie niebieski ekran śmierci. Ale przecież znany ekspert BrianKrebs już kilka dni temu pisał, że należy spodziewaćsię wielu krytycznych poprawek luk pozwalających na zdalneataki. Wybór między komputerem-cegłą, a komputerem-zombie jestdość trudny – mamy nadzieję, że tym razem nie będziekonieczny.

Tym razem Microsoft wydał w drugi wtorek miesiąca 50 łatek,obejmujących Windowsa, przeglądarki Internet Explorer i MicrosoftEdge, silnik skryptowy ChakraCore i pakiet biurowy Microsoft Office.Z tych 50 łatek 14 uznano za krytyczne, 34 za poważne, a dwa zaumiarkowane. Jeden z załatanych błędów był znany publicznie, jakjednak firma z Redmond twierdzi, nie był aktywnie wykorzystywany doataków.

Zacznijmy więc od tego publicznie znanego: CVE-2018-0771dotyczy Microsoft Edge, a konkretnie obsługi żądań z różnychźródeł. Odpowiednio spreparowana strona internetowa może obejśćograniczenia Same-Origin Policy i dopuścić żądania, które mogązmusić przeglądarkę do wysłania danych, których normalnie by nieujawniła. Eksperci z Zero Day Initative twierdzą, że takapodatność, interesująca z technicznego punktu widzenia, możeznaleźć zastosowanie przede wszystkim w bardzo precyzyjnych atakachprzeciwko znanym celom.

Najbardziej spektakularną z luk załatanych w lutowym cyklu jestjednak CVE-2018-0852.Dotyczy ona klienta poczty Microsoft Outlook i pozwala na naprawdęspektakularny atak. Otóż można ofierze wysłać uzłośliwionegoe-maila, który uruchomi zdalnie kod bez konieczności jakiegokolwiekklikania – wystarczy że ofiara zobaczy go w widoku podglądu. Wnajbliższych tygodniach spodziewajmy się prawdziwej rzezi w w tychwszystkich organizacjach, gdzie pracownicy namiętnie korzystają zOutlooka. Ciekawostką tu jest to, że odkrycie tej luki Microsoftzatrudnia Nicolasowi Joly’emu, zwycięzcy jednej z edycji konkursuPwn2own, który później poszedł dla Microsoftu pracować.

Drugi ważny błąd w Outlooku to CVE-2018-0850.Pozwala on na podwyższenie uprawnień dla złośliwego kodu.Odpowiednio spreparowany e-mail może zmusić microsoftowego klientapoczty do załadowania magazynu wiadomości lokalnie lub zdalnie poprotokole SMB. Niby nic strasznego, tyle że Outlook robi to wmomencie odebrania wiadomości. Tak, nie kliknięcia, niewyświetlenia, lecz po prostu samego odebrania. W połączeniu zpoprzednią luką można spodziewać się całkiem wyrafinowanychataków przez pocztę na organizacje.

Za krytyczne zagrożenie dla systemów Microsoftu uznano też lukęCVE-2018-0825w bibliotece Windows StructuredQuery – wysłany ofierzespreparowany plik pozwala na zdalne uruchomienie kodu, oraz łączniejedenaście luk w silniku skryptowym używanym przez przeglądarkiMicrosoftu. Jak zwykle w takich wypadkach, złośliwa stronainternetowa może uszkodzić pamięć przeglądarki, by wykonać swójwłasny kod na komputerze ofiary.

Tyle, jeśli chodzi o problemy krytyczne. Na liście poważnychjest w tym miesiącu 38 luk, dotyczących kernela Windowsa, silnikafontów, kontenera aplikacji, systemu logowania, usługprzechowywania danych i systemu plików NTFS. Pozwalają one napodwyższenie uprawnień, wycieki kodu, a nawet ucieczkę z konteneraaplikacji. Nie wygląda to za ciekawie, wiele z tych luk musi byćzałatanych na niskim poziomie – oby bez negatywnych konsekwencjidla stabilności systemu.

Warto zastanowić się też nad łatkami Adobe. Jedna z nich jestszczególnie ważna, łata bowiem lukę0-day w odtwarzaczu Flash, odkrytą i aktywnie używaną przezpółnocnokoreańskich hakerów. Nowsze łatają podatności w AdobeAcrobacie, Adobe Readerze i Adobe Experience Managerze.

Przydatne linki

Źródło artykułu:www.dobreprogramy.pl
© dobreprogramy·Redakcja·Regulamin·Polityka prywatności·Reklama·Kontakt
Szanowna Użytkowniczko! Szanowny Użytkowniku!
×
Aby dalej móc dostarczać coraz lepsze materiały redakcyjne i udostępniać coraz lepsze usługi, potrzebujemy zgody na dopasowanie treści marketingowych do Twojego zachowania. Twoje dane są u nas bezpieczne, a zgodę możesz wycofać w każdej chwili na podstronie polityka prywatności.

Kliknij "PRZECHODZĘ DO SERWISU" lub na symbol "X" w górnym rogu tej planszy, jeżeli zgadzasz się na przetwarzanie przez Wirtualną Polskę i naszych Zaufanych Partnerów Twoich danych osobowych, zbieranych w ramach korzystania przez Ciebie z usług, portali i serwisów internetowych Wirtualnej Polski (w tym danych zapisywanych w plikach cookies) w celach marketingowych realizowanych na zlecenie naszych Zaufanych Partnerów. Jeśli nie zgadzasz się na przetwarzanie Twoich danych osobowych skorzystaj z ustawień w polityce prywatności. Zgoda jest dobrowolna i możesz ją w dowolnym momencie wycofać zmieniając ustawienia w polityce prywatności (w której znajdziesz odpowiedzi na wszystkie pytania związane z przetwarzaniem Twoich danych osobowych).

Od 25 maja 2018 roku obowiązuje Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (określane jako "RODO"). W związku z tym chcielibyśmy poinformować o przetwarzaniu Twoich danych oraz zasadach, na jakich odbywa się to po dniu 25 maja 2018 roku.

Kto będzie administratorem Twoich danych?

Administratorami Twoich danych będzie Wirtualna Polska Media Spółka Akcyjna z siedzibą w Warszawie, oraz pozostałe spółki z grupy Wirtualna Polska, jak również nasi Zaufani Partnerzy, z którymi stale współpracujemy. Szczegółowe informacje dotyczące administratorów znajdują się w polityce prywatności.

O jakich danych mówimy?

Chodzi o dane osobowe, które są zbierane w ramach korzystania przez Ciebie z naszych usług, portali i serwisów internetowych udostępnianych przez Wirtualną Polskę, w tym zapisywanych w plikach cookies, które są instalowane na naszych stronach przez Wirtualną Polskę oraz naszych Zaufanych Partnerów.

Dlaczego chcemy przetwarzać Twoje dane?

Przetwarzamy je dostarczać coraz lepsze materiały redakcyjne, dopasować ich tematykę do Twoich zainteresowań, tworzyć portale i serwisy internetowe, z których będziesz korzystać z przyjemnością, zapewniać większe bezpieczeństwo usług, udoskonalać nasze usługi i maksymalnie dopasować je do Twoich zainteresowań, pokazywać reklamy dopasowane do Twoich potrzeb. Szczegółowe informacje dotyczące celów przetwarzania Twoich danych znajdują się w polityce prywatności.

Komu możemy przekazać dane?

Twoje dane możemy przekazywać podmiotom przetwarzającym je na nasze zlecenie oraz podmiotom uprawnionym do uzyskania danych na podstawie obowiązującego prawa – oczywiście tylko, gdy wystąpią z żądaniem w oparciu o stosowną podstawę prawną.

Jakie masz prawa w stosunku do Twoich danych?

Masz prawo żądania dostępu, sprostowania, usunięcia lub ograniczenia przetwarzania danych. Możesz wycofać zgodę na przetwarzanie, zgłosić sprzeciw oraz skorzystać z innych praw wymienionych szczegółowo w polityce prywatności.

Jakie są podstawy prawne przetwarzania Twoich danych?

Podstawą prawną przetwarzania Twoich danych w celu świadczenia usług jest niezbędność do wykonania umów o ich świadczenie (tymi umowami są zazwyczaj regulaminy). Podstawą prawną przetwarzania danych w celu pomiarów statystycznych i marketingu własnego administratorów jest tzw. uzasadniony interes administratora. Przetwarzanie Twoich danych w celach marketingowych realizowanych przez Wirtualną Polskę na zlecenie Zaufanych Partnerów i bezpośrednio przez Zaufanych Partnerów będzie odbywać się na podstawie Twojej dobrowolnej zgody.

Przejdź na