וִידֵאוֹ: 12.ª JOR. | CF "Os Montelavarenses" x União Mucifalense (10-1) (אוֹקְטוֹבֶּר 2024)
מיקרוסופט פרסמה שבעה עלונים המתקנים 12 פגיעויות במהדורת Patch Tuesday הראשונה לשנת 2013. כצפוי, תיקון לפגיעות של יום אפס ב- Internet Explorer לא היה חלק מההפצה.
מבין שבעת העלונים, רק שניים דורגו "ביקורתיים"; חמשת החברות הנותרות דורגו כ"חשובות ", אמרה מיקרוסופט בעצה הייצוגית שלה בנושא Patch Tuesday. אף על פי שאף אחד מהנושאים הללו לא מנוצל בטבע כרגע, "ברגע שהדרך תוביל להאקרים חכמים וזדוניים לנושא, לא ייקח זמן רב עד שהניצולים יתחילו", רוס בארט, מנהל בכיר בהנדסת אבטחה ב- Rapid7, אמר ל- SecurityWatch .
רק שני עלונים ביקורתיים
אחד הטלאים הקריטיים דורג כ"תיקון החשוב ביותר בהרכב "על ידי Qualys CTO וולפגנג קנדק מכיוון שהוא משפיע על כל גרסת Windows מ- XP ל- Windows 8, RT ו- Server 2012, יחד עם כל הגרסאות של Microsoft Office ומיקרוסופט אחרת. יישומים, כגון Sharepoint ו- Groove. ניתן לנצל את הפגם בספריית MSXML (MS13-002) על ידי הונאת משתמשים לבקר באתר זדוני, או על ידי פתיחת מסמך Office ממולכד המצורף לאימייל.
העלון הקריטי הנוסף משפיע על תוכנת המדפסת Microsoft Windows Printer Spooler ב- Windows 7 ו- 2008 (MS13-001). התוקף עלול לתור כותרות של עבודות הדפסה זדוניות כדי לנצל לקוחות שמתחברים, אך לא ניתן להפעיל אותה באמצעים רגילים. לאף אחד לא צריך שיהיה נגיש לסוודר הדפסה מחוץ לחומת האש, אך הפגם יכול להיות מנוצל על ידי מבני זדון או כחלק מהתקפת הסלמה של הרשאות, אמר בארט.
אנדרו סטורדס, מנהל תחום פעולות האבטחה ב- nCircle, אמנם לא רציני כמו פגמי סליל ההדפס שמנוצל על ידי Stuxnet, אך העובדה כי באג זה יכול לשמש בהתקפה בסגנון חור. יש לתקן את זה, "פרונטו", הוסיף.
עלונים חשובים
העלונים החשובים התייחסו לבעיות ב-.NET (MS13-004), גרעין Windows (MS13-005), יישום שכבת השקע המאובטח ב- Windows Vista (MS13-006), פרוטוקול Open Data (MS13-007) ו- cross- פגם בכתיבת אתרים. בעוד שניתן היה לנצל את באגי ה- NET לביצוע מרחוק של קוד, ארגז החול החדש שהוצג לאחרונה בכל הגרסאות של.NET צמצם את "יכולת הניצול", אמר פול הנרי, אנליסט אבטחה וטכנולוגיה משפטית של Lumension.
הפגם במודול הגרעין win32k.sys השפיע על ארגז החול AppContainer במערכת Windows 8. אף כי לא מדובר בפגם קריטי בפני עצמו, ניתן להשתמש בו בשילוב עם פגיעויות אחרות לתקיפה של מערכת Windows 8, אמר קנדק.
שתי העלאות ההרשאות במסוף Microsoft SCOM הפכו את דף הכניסה לפגיע למתקפת סקריפט בין-אתרים, כך מסרה מיקרוסופט במייעצת. שניהם XSS לא מתמשך, מה שאומר שמנהלי מערכת חייבים להיות משוכנעים לבקר בדף הזדוני בזמן מסוים, כך אמר Tyler Reguly, מנהל טכני של מחקר ופיתוח אבטחה ב- nCircle, ל- SecurityWatch .
יום אפס לא קבוע
כצפוי, למיקרוסופט לא היה תיקון לפגיעות של יום אפס המשפיע כיום על Internet Explorer 6, 7 ו- 8. למרות שהבעיה היא בגירסאות הישנות יותר של דפדפן האינטרנט, הן למעשה מייצגות 90 אחוז מהבסיס המותקן IE, אמר קנדק. הניצול הפעיל ממוקד כרגע ל- IE8, ולכן המשתמשים צריכים לשדרג ל- IE9 או IE10 הבטוח יותר במידת האפשר.
ה- Fix-It שפורסם בשבוע שעבר חוסם התקפה ספציפית, אך חוקרי Exodus Intelligence מצאו דרכים אחרות להפעיל את הפגיעות גם לאחר יישום הדרך לעקיפת הבעיה. עם זאת, על מנהלי מערכת עדיין לפרוס את ה- Fix-It, אך עליהם לשקול גם להפעיל את ערכת הכלים Enhanced Mitigation Experience של מיקרוסופט, שיכולה לחסום ניסיונות להפעיל את הפגם באפס יום.
