Рубрика «patch tuesday» - 2

Компания Microsoft выпустила серию обновлений для своих продуктов, которые исправляют 66 уникальных уязвимостей в продуктах Windows, Internet Explorer и Office. Два исправления имеют статус Critical и еще четыре Important. Критическое обновление MS14-035 исправляет рекордные в этом году 59 уязвимостей во всех версиях браузера Internet Explorer 6-11 на всех поддерживаемых ОС. Это обновление также исправляет нашумевшую в прошлом месяце 0day уязвимость CVE-2014-1770 в IE8. Исправляемые уязвимости относятся к типу Remote Code Execution и позволяют злоумышленнику выполнить произвольный код через уязвимую версию браузера. Для применения MS14-035 нужна перезагрузка.

Критическое обновление MS14-036 адресуется для всех поддерживаемых ОС, начиная с Windows Server 2003 и заканчивая Windows 8.1 / RT 8.1. Оно также затрагивает некоторые версии Office 2007-2010. Исправляемая RCE-уязвимость CVE-2014-1817 содержится в компоненте Unicode String Processor и может быть использована атакующими для доставки вредоносного кода в систему через веб-страницу. Другая уязвимость CVE-2014-1818 присутствует в библиотеке gdi32.dll (Windows GDI+) и позволяет злоумышленникам удаленно исполнить код через специально сформированный файл изображения. Для применения исправления требуется перезагрузка. Exploit code likely.

Читать полностью »

Microsoft выпустила серию обновлений для своих продуктов, которые закрывают 23 уникальных уязвимости (2 исправления со статусом Critical и 3 со статусом Important). Как обычно, одно из обновлений (MS14-012) нацелено на исправление восемнадцати Remote Code Execution (RCE) уязвимостей во всех версиях браузера Internet Explorer 6-11 на Windows XP SP3/ XP x64 SP2 до Windows 8.1/RT 8.1. Злоумышленники могут использовать специальным образом подготовленную веб-страницу для удаленного исполнения кода через браузер (drive-by). Обновление также закрывает IE10 use-after-free уязвимость CVE-2014-0322 (SA 2934088), которая ранее использовалась в направленных атаках. Для применения обновления нужна перезагрузка.

Другое критическое обновление MS14-013 устраняет double-free-уязвимость CVE-2014-0301 (RCE) в компоненте DirectShow (qedit.dll) для всех ОС начиная с Windows XP и заканчивая 8.1. Атакующие могут использовать специальным образом сформированный файл изображения (JPEG) для исполнения произвольного кода в системе.

Читать полностью »

Компания Microsoft выпустила серию обновлений для своих продуктов, которые закрывают 31 уникальную уязвимость (4 исправления со статусом Critical и 3 исправления со статусом Important). В выпущенном шестого февраля расширенном уведомлении об исправляемых уязвимостях не содержалась информация об обновлениях для браузера Internet Explorer. Однако вчера Microsoft включили в Patch Tuesday два критических исправления (Internet Explorer & VBScript flaw), одно из которых MS14-010 закрывает 24 уязвимости типа Remote Code Execution (RCE) во всех версиях браузера IE6-11 на WinXP-8.1 x32/x64. Второе MS14-011 исправляет критическую RCE уязвимость (VBScript Scripting Engine) во всех версиях ОС WinXP-8.1. Для применения исправлений нужна перезагрузка.

Детальный отчет о закрываемых уязвимостях, компонентах продуктов и их версий можно найти на соответствующей странице security bulletins. Обновления закрывают уязвимости в продуктах Windows, Internet Explorer, .NET Framework и Security Software. Отметим, что ранее, на прошлой неделе, MS обновляла Flash Player в составе IE10+ через Windows Update для закрытия CVE-2014-0497 (Adobe APSB14-04).

Читать полностью »

Компания выпустила серию обновлений для своих продуктов, которые закрывают 24 уникальных уязвимостей (6 исправлений со статусом Critical и 5 со статусом Important). Детальный отчет о закрываемых уязвимостях, компонентах продуктов и их версий можно найти на соответствующей странице security bulletins. Это последний patch tuesday в этом году, в рамках него MS исправляет уязвимости для таких продуктов как Internet Explorer, Windows, Office, Exchange и др., причем на исправление продуктов Office нацелено сразу три обновления.

Обновление MS13-096 закрывает эксплуатируемую in-the-wild уязвимость в Office CVE-2013-3906 (Win32/Exploit.CVE-2013-3906.A). Мы более подробно писали о ней здесь. Злоумышленники использовали специальным образом сформированный .doc файлы для установки в систему вредоносного кода через эксплойт. Уязвимость существует в коде обработки встроенного в документ специального изображения (TIFF codec). MS Word использует этот компонент для открытия встроенных в документ других объектов, в этом случае TIFF-изображения. Обновлению подлежат Windows Vista и Server 2008, а также Office 2003-2007-2010. Для применения обновления нужна перезагрузка.

Читать полностью »

Microsoft анонсировали выпуск серии обновлений, нацеленных на устранение уязвимостей в своих продуктах. Заявленные ранее в пре-релизе (8 августа) секьюрити-фиксы покрывают более 20 уникальных уязвимостей (3 исправления со статусом Critical и 5 со статусом Important). Детальный отчет (включая сопоставления исправлений с CVE ID) Вы можете найти здесь. Одно из обновлений MS13-059 нацелено на исправление одиннадцати Critical уязвимостей в браузере Internet Explorer (начиная с 6-й версии и заканчивая новейшим IE 10 для всех ОС Windows XP — 8 — RT, x32 и x64, серверных версий ОС как Moderate). Уязвимости относятся к типу Remote Code Execution и могут использоваться для скрытной установки вредоносного кода (drive-by). Для применения исправления нужна перезагрузка.

Обновление MS13-063 устраняет уязвимости CVE-2013-2556, CVE-2013-3196, CVE-2013-3197, CVE-2013-3198 типа Elevation of Privelege в 32-битных Windows XP, Windows Server 2003, Windows 8 и во всех версиях Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2. CVE-2013-2556 присутствует в коде реализации Address Space Layout Randomization (ASLR). Уязвимость позволяет атакующему обойти возможности ASLR и заранее рассчитать нужный адрес загрузки компонента в памяти. Т. е. такая возможность потенциально может быть частью эксплойта, который эксплуатирует другую уязвимость типа Remote Code Execution для удаленного исполнения кода. Другие три уязвимости присутствуют в коде ядре и связаны с использованием memory-corruption в NT Virtual DOS Machine (NTVDM) для запуска своего кода в режиме ядра. Эти уязвимости были обнаружены ресерчерами VUPEN в рамках Pwn2Own 2013.

Критическое обновление MS13-061 устраняет три RCE уязвимости (CVE-2013-2393, CVE-2013-3776, CVE-2013-3781) в Microsoft Exchange Server 2007, 2010 и 2013. Уязвимости могут быть использованы злоумышленниками через специально сформированный файл при его просмотре через интерфейс в браузере Outlook Web Access. При этом атакующий может запустить произвольный код на Exchange Server.

Читать полностью »