Październikowe łatki Microsoftu: groźne luki tkwiły w przeglądarkach, Excelu, powłoce, a nawet jądrze
Październikowe biuletyny bezpieczeństwa Microsoftu przypominają,że współczesne metodyki programowania wcale nie gwarantujątworzenia jakościowego kodu, a wręcz przeciwnie. Nawet kluczoweoprogramowanie systemowe może być pełne błędów. Tym razemzałatano 33 luki, tkwiące w przeglądarkach Internet Explorer iMicrosoft Edge, silniku VBScript/Jscript, powłoce Windows, jądrzeWindows i pakiecie biurowym Office.
Biuletyn MS15-106to zbiorcza poprawka dla wszystkich wersji Internet Explorera. Usuwałącznie aż 14 usterek z tej przeglądarki, określonych jakopoważne lub krytyczne, pozwalających na zdalny atak za pomocąodpowiednio spreparowanej strony internetowej, poprzez wywołaniebłędów pamięci, elewację uprawnień, obejście zabezpieczeńASLR i ujawnienie danych użytkownika.
Znacznie spokojniej jest w wypadku przeglądarki Edge. BiuletynMS15-107wspomina wyłącznie o dwóch zagrożeniach, związanych zmożliwością wycieku zawartości pamięci oraz obejścia filtrówchroniących przed atakiem XSS.
Niezależnie od przeglądarek wspomniano o usterkach w silnikachskryptowych, używanych nie tylko przez przeglądarki. Cztery błędyw VBScripcie i Jscripcie dotyczą możliwości uszkodzenia pamięci,obejścia zabezpieczeń ASLR i wycieku danych. Opisano je dokładniew biuletynie MS15-108.
Powłoka Windows (Windows Shell) też podatna była na zdalnyatak, czy to przez odpowiednio spreparowaną stronę internetową,czy przez złośliwy pasek narzędziowy. Co ciekawe, dotyczy towszystkich wersji systemu, od Visty po Windows 10 (nie wspominającjuż o Windows Serverze), co każe się zastanawiać, ile kodu nazasadzie kopiuj-wklej przechodzi między kolejnymi wydaniami„okienek”. Szczegóły dotyczące tego zagrożenia znajdziecie wbiuletynie MS15-109.
Dziury w powłoce to jedno, ale dziury w jądrze? BiuletynMS15-111opisuje lukę pozwalającą obejść zabezpieczenia procesuTrustedBoot oraz wgrać (np. szpiegowskie) pliki uruchamialne isterowniki na urządzenie ofiary. Na szczęście wymaga to fizycznegodostępu, na nieszczęście, dla instytucjonalnego napastnikauzyskanie fizycznego dostępu nie stanowi raczej problemu. Drugapoważna luka dotyczy elewacji uprawnień i uruchomienia dowolnegokodu podczas tworzenia punktów montowania woluminów, trzy kolejneto luki dotyczące sposobu obsługi obiektów w pamięci, za pomocąktórych można uruchomić dowolny kod w trybie kernela, oddając mutym samym totalną kontrolę nad systemem.
Na sam koniec biuletyn MS15-110,który wspomina o zagrożeniach dla użytkowników Excela iSharepoint Severa. Tutaj otworzenie złośliwego arkuszakalkulacyjnego pozwolić może na wykonanie zawartego w nim koduJavaScriptu, z uprawnieniami zalogowanego użytkownika. Microsoftwyjaśnia, że pozwala to na wykradzenie wrażliwych infromacji, wtym ciasteczek uwierzytelniania do serwisów internetowych.
Wiele z załatanych wraz z październikowymi biuletynami lukzostało już publicznie ujawnionych, należy się spodziewać więcwykorzystujących je ataków. Co za tym idzie, zalecamy skorzystaniez tego, co oferuje Windows Update. Wielu użytkowników na forachskarży się, że wraz z łatkami bezpieczeństwa dostaje jednakpoprawki KB3035583 i KB3083710, które będą próbowałyzaktualizować starsze wersje systemu do Windows 10. Jeśli więczdecydujecie się aktualizację, uważajcie na to, co Microsoftpróbuje Wam przy okazji dostarczyć.
Na koniec ciekawostka dla użytkowników pakietu Office na Makach.Redmond przygotowało też łatkidla Outlooka, PowerPointa, Worda, Excela i OneNote, dostępne przezMicrosoft Download Center. Ich rozmiar budzi zdumienie –przykładowo „łatka” do Worda (wersja 15.15.0) ma zaledwie 871MB, a łatka do OneNote 345 MB. O co chodzi? Czyżby Microsoft niebył w stanie dostarczyć na Maka łatki poprawiającej istniejącąinstalację? Jako poprawki dostarczono bowiem kompletne instalatory,coś raczej niespotykanego w świecie Apple. Microsoftowi możnaporadzić jedynie, by zainteresował się dostępnym na wolnejlicencji MIT frameworkiem Sparkle,który rozwiązuje wszystkie problemy z aktualizacją oprogramowaniana Makach.