Microsoft łata swoje oprogramowanie: dziur jest sporo, zalecamy szybką aktualizację
W usłudze Windows Update pojawiły się już najnowsze aktualizacje wydane w ramach biuletynów bezpieczeństwa zaplanowanych na luty. Korporacja łata w nich luki w zabezpieczeniach swoich aplikacji i usług, a także poprawia błędy związane z ich działaniem. Niestety, w niektórych przypadkach najnowsze łatki powodowały problemy.
W lutym Microsoft wydał łącznie 9 biuletynów, które naprawiają 56 odrębnych podatności i luk bezpieczeństwa w systemie Windows w odmianach konsumenckich i serwerowych, a także różnych wersjach pakietu Office. Trzy z nich zostały oznaczone jako krytyczne i zalecane jest jak najszybsze ich zainstalowanie. Pierwsza z nich, MS15-009 to zbiorczy pakiet łatek dla przeglądarki Internet Explorer naprawiający w niej 40 luk. Najpoważniejsza z nich pozwala atakującemu na zdalne wykonanie kodu i zdobycie takich samych uprawnień, jakie posiada aktualnie pracujący użytkownik. Komputery na których są wykorzystywane konta z ograniczeniami są w mniejszym stopniu narażone na negatywne skutki tego ataku – ta sytuacja dobrze pokazuje, że gdy nie ma potrzeby, nie powinniśmy korzystać z kont administracyjnych.
Kolejna łatka oznaczona jako MS15-010 naprawia pięć błędów w systemie Windows, jest oznaczona jako krytyczna dla Windows 7 i wyższych, a jako ważna dla Visty, oraz Windows Server 2003 i 2008. Również w tym przypadku chodzi o możliwość zdalnego wykonania kodu. Do ataku dochodzi poprzez otwarcie spreparowanych dokumentów, lub odwiedzenie niebezpiecznej strony zawierającej osadzone fonty TrueType. Ostatnia z krytycznych aktualizacji, MS15-011, również łata błąd w systemie Windows. Jeżeli atakujący przekona użytkownika pracującego w domenie do połączenia z kontrolowaną przez niego siecią, będzie w stanie wykorzystać dziurę i zdalnie wykonać niebezpieczny kod. Łatka poprawia konfigurację zasad grupy i uniemożliwia przeprowadzenie takiego ataku.
Pozostałe łatki od MS15-012 do MS15-017 dotyczą mniej istotnych problemów z zabezpieczeniami w różnym oprogramowaniu Microsoftu: część z nich odnosi się do pakietu Office, inne są związane z Microsoft Graphics Component. Większość z nich pozwala na zdalne wykonywanie kodu, jak więc widać, jest to największe utrapienie związane z bezpieczeństwem większości składników tak systemu, jak i dodatkowych programów.
Inne łatki bezpieczeństwa zostały przygotowane z myślą o załataniu Flash Playera dla Internet Explorera dostępnego w systemie Windows 8.1, a także pozwalają wyłączyć wsparcie dla SSL 3.0 fallback w tej przeglądarce. Mechanizm ten pozwala na przejście do SSL w sytuacji, gdyby niemożliwe było nawiązanie połączenia przy pomocy TLS. Obecnie takie działanie można wyłączyć w trybie chronionym Internet Explorera, w celu lepszej ochrony przed atakiem POODLE. Poprawki niezwiązane z bezpieczeństwem mają za zadanie poprawić wydajność, a także kompatybilność oprogramowania. Naprawiają one także znalezione błędy, a jedna z nich powoduje włączenie automatycznej aktualizacji Windows 8 do wydania 8.1.
Niestety jedna z aktualizacji powoduje problemy. Trefny KB 3001652 to zbiorczy pakiet aktualizacji dla Visual Studio 2010 Tools for Office Runtime. Wielu użytkowników zgłaszało problemy z nią związane: przy próbie jej instalacji komputer „blokował się” i ratunkiem było jedynie jego zrestartowanie, a co za tym idzie, utrata efektów wykonanej pracy. Łatka na szczęście została już wycofana, tym razem reakcja Microsoftu na zgłoszenia była więc bardzo szybka i jak najbardziej prawidłowa. Mamy nadzieję, że już niebawem łatka znów pojawi się w Windows Update, tyle tylko, że w poprawionej, niepowodującej problemów formie.