Windowsy pełne luk 0-day, zainstaluj jak najszybciej październikowe aktualizacje!
Znamy już zawartość październikowych biuletynów bezpieczestwaMicrosoftu . Mogłoby się wydawać, że nie jest najgorzej –wyszło ich zaledwie 10, z czego pięć określono jako krytyczne, acztery jako ważne. Uwaga jednak: tym razem mamy do czynienia zesporą liczbą luk 0-day, które są już wykorzystywane przezcyberprzestępców, więc nie macie specjalnie wyjścia. Albozbiorcze aktualizacje dla swoich systemów zainstalujecie, albopozostaje Wam czekać na darmowe podłączenie do botnetu.
Pierwszym z krytycznych biuletynów jest MS16-118.Naprawia on jedenaście luk w Internet Explorerze, z których jedna,CVE-2016-3298, jest już aktywnie wykorzystywana w złośliwychkampania reklamowych, m.in. w AdGholas. Ze szczegółami możecie sięzapoznać na blogu firmy Proofpoint,tuu jedynie powiemy, że luka ta pozwala na wydobycie wrażliwychdanych z przeglądarki, które będzie można wykorzystać w innychatakach. Pozostałe luki dotyczą problemów z obsługą pamięcioraz podwyższenia uprawnień dla systemowych procesów.
Drugi biuletyn, MS16-119,dotyczy oczywiście Microsoft Edge. Tym razem łata on aż 13 luk, zczego siedem dotyczy błędów w obsłudze pamięci, dwie zagrażająpodwyższeniem uprawnień, dwie wyciekiem wrażliwych danych, jednaobejściem zabezpieczeń i jedna zdalnym uruchomieniem kodu. Iwłaśnie ta jedna, znajdująca się w silniku skryptowym Edge ioznaczona jako CVE-2016-7189, jest aktywnie exploitowana przez kilkaszkodników i sprzedawana na hakerskich forach za ok. 10 tys.dolarów.
Biuletyn MS16-120obejmuje luki w różnych wersjach Windowsa, Office 2007 i 2010,wszystkich wersjach .NET Frameworka i Silverlighta, a także Skypefor Business oraz Lynca 2010 i 2013. Problem dotyczy Windows GraphicsComponent, GDI+ oraz True Type Font Parsing. Luka CVE-2016-3393 związana jest więc z błędem wprzetwarzaniu fontów – taki font, osadzony np. na stronieinternetowej, może być nośnikiem złośliwego kodu. Nie tylkozresztą może być, ale i jest, luka jest aktywnie exploitowana.
MS16-122dotyczy ostatniej z odkrytych tym razem luk 0-day w Windowsach i ichoprogramowaniu systemowym. Tym razem poszło o kontrolkę MicrosoftVideo Control. Luka CVE-2016-0142 dotyczy błędów w obsłudzeobiektów w pamięci i pozwala każdemu, kto spreparuje dane dla tejkontrolki ActiveX uruchomić swój własny kod przez bibliotekęDirectShow. Odkryto już exploity w naturalnym środowisku Windowsów.
Na tym nie koniec. Także Microsoft Office doczekało się swojejluki 0-day. Biuletyn MS16-121(co ciekawe, oznaczony zaledwie jako „ważny”) dotyczy błędu wobsłudze pamięci podczas otwierania plików RTF, oznaczonego jakoCVE-2016-7193, i pozwalającego na zdalne uruchomienie kodu. Problemdotyczy wszystkich wersji Microsoft Office od 2007 do 2016, nie tylkona Windowsa ale też i Maka, jak również całej gamy narzędzisoftware’owych związanych z Office. Z jakiegoś powodu niektórewersje Microsoft Worda 2010 nie dostaną tej łatki. Świetnawiadomość, szczególnie że exploity już są w sprzedaży.
Wrócmy jednak do samych Windowsów i pozostałych nie tak jużkrytycznych luk. MS16-123dotyczy licznych podatności w sterownikach trybu kernela Windowsów,niektóre z nich można wykorzystać do podwyższenia uprawnień.MS16-124to podwyższanie uprawnień poprzez Rejestr Windows. MS16-125dotyczy zaś luki w Windows Diagnostics Hub Standard CollectorService, również pozwalającej na podwyższenie uprawnień.MS16-126łata zaś lukę w Microsoft Internet Messaging API, pozwalającą nazdalne sprawdzenie obecności danego pliku na dysku – niezbytgroźne, ale już jest aktywnie exploitowane.
Jeśli już zainstalowaliście najnowsze zbiorcze paczkiaktualizacyjne, możecie spać spokojnie. Wasze Windowsy właśniestały się mniej dziurawe.