Видео: What's new with Microsoft 365 | October 2020 (Ноябрь 2024)
Вчера Microsoft выпустила 13 бюллетеней по безопасности, охватывающих около 47 ошибок, в патче, который немного больше обычного, во вторник. Среди них четыре были перечислены как критические, а остальные отмечены как важные. Будьте готовы к обновлению!
Интересно, что четырнадцатое обновление, касающееся проблемы отказа в обслуживании в.NET, было объявлено на прошлой неделе, но было отложено для дальнейшего тестирования. Возможно, Microsoft хочет избежать некоторой путаницы с прошлогодним патчем во вторник, когда одно обновление пришлось удалить после выпуска.
Internet Explorer и социальная инженерия
Microsoft устранила десять уязвимостей с помощью накопительного обновления для Internet Explorer, затрагивающего версии с шести по 10. Это означает, что эти изменения будут затронуты практически всеми, и это к лучшему, поскольку некоторые из этих ошибок допускают удаленное выполнение кода.
«Наиболее серьезные уязвимости делают возможным удаленное выполнение кода, если пользователь просматривает специально созданную веб-страницу с помощью Internet Explorer», - пишет Microsoft. «Злоумышленник, успешно воспользовавшийся наиболее серьезной из этих уязвимостей, может получить те же права, что и текущий пользователь». Это еще один хороший аргумент в пользу того, чтобы никогда не использовать учетную запись с привилегиями администратора для повседневной работы.
Microsoft Word и Excel увидят обновления, устраняющие уязвимость формата файла, в которой специально созданный файл Office может использоваться для выполнения кода на компьютере жертвы. «Microsoft только оценивает эти уязвимости как« важные », потому что они требуют, чтобы цель сотрудничала», - пишет технический директор Qualy Вольфганг Кандек. «Однако злоумышленники не раз доказывали, что у них есть необходимые методы социальной инженерии, чтобы с легкостью преодолеть это препятствие».
На самом деле, отчеты, которые мы видели, ставят социальную инженерию на первое место среди основных угроз для пользователей, равно как и испорченные файлы, подобные тем, к которым относятся эти обновления Office. Эти файлы невероятно опасны, потому что они выглядят законно, и мы видели, как они были использованы для продвинутых постоянных атак угроз.
Outlook и другие
Популярные версии Microsoft Outlook 2007 и 2010 также были исправлены в этом месяце, чтобы устранить особенно неприятную уязвимость. «Злоумышленник может использовать алгоритм синтаксического анализа сертификатов, подписав электронное письмо и вложив в подпись более 256 сертификатов», - пояснил Кандек. «Атака вызывает переполнение буфера, даже если она визуализируется в панели предварительного просмотра Outlook».
Несмотря на то, что Microsoft заявляет, что атаку по перспективе сложно осуществить, она опасна, поскольку жертве не нужно ничего делать, чтобы атака была успешной.
В дополнение к этому Microsoft выпустила критические исправления для Sharepoint 2003, 2007, 2010 и 2013, а также Microsoft Visio. Патчи помечены как важные OLE, файлы тем Windows, Microsoft Access, Office IME на китайском языке, драйверы Kernal-Mode, диспетчер управления службами Windows, FrontPage и Active Directory.
Изображение от пользователя Flickr Дэн Дикинсон
