Sierpniowy dzień łatek w Microsofcie: o 35 luk mniej i o jedną więcej
Piętnaście biuletynów dotyczy 35 luk w zabezpieczeniach produktów Microsoftu – to bilans rekordowego sierpniowego dnia łatek w firmie z Redmond. W ubiegły piątek zapowiadano jeszcze 14 biuletynów i 34 usterki, ale w tym wyliczeniu prawdopodobnie pominięty został biuletyn dla załatanej już wcześniej luki LNK (MS10-046).
Problemy
Jako krytyczne sklasyfikowano aktualizacje dla wszystkich wersji Windows na wszystkich platformach, Microsoft Office'a dla Windows i Maca, a także aktualizacje dla środowiska .NET i Silverlighta. Wśród narażonych komponentów jest powłoka Windows Shell, XML Core Services, kodeki MP3 i Cinepak, IIS, IE 7 i 8. Word oraz usługa sieciowa SMB. Za pośrednictwem większości tych luk napastnicy mogą przemycić szkodliwy kod, a następnie przejąć kontrolę nad systemami podatnymi na ataki.
Aktualizacje o drugim co do ważności stopniu –. "ważne", przygotowano dla wszystkich wersji kernela Windows i różnych sterowników, Movie Makera, Excela, stosu sieciowego TCP/IP, a także funkcji Windows Tracing. W wyniku błędów programistycznych znajdujących się w tych komponentach agresorzy działający lokalnie mogą rozszerzać uprawnienia uruchamianych procesów.
Nieco zaskakująca jest treść zaleceń (Advisory) dla luki w zabezpieczeniach Windows Service Isolation, dodatkowej funkcji zabezpieczającej, która pozwala nieuprzywilejowanym procesom na dostęp do uprzywilejowanych funkcji systemu. W pewnych warunkach skuteczny atak może prowadzić do tego, że proces NetworkService uzyska uprawnienia systemowe. Wśród możliwych scenariuszy ataku specjaliści z Redmond wymieniają nietypowo skonfigurowane serwery IIS i SQL, a także Windows Telephony Application Programming Interfaces (TAPI).
Rozwiązania
Instalacja uaktualnień eliminuje wspomniane problemy. Microsoft dystrybuuje aktualizacje za pośrednictwem tradycyjnych mechanizmów; użytkownicy powinni je bezzwłocznie zainstalować. Pojawiły się też nowe sygnatury dla narzędzia Malicious Software Removal Tool. Jeśli chodzi o problem z Windows Service Isolation to według dokumentacji nie pojawi się eliminujący go patch. Uzasadnienie jest nieco mętne: Windows Service Isolation to jedynie dodatkowa warstwa zabezpieczeń ("a defense-in-depth feature"), która nie jest stosowana przez wszystkich klientów i nie stanowi pełnowartościowej zapory ochronnej ("not a proper security boundary"). W zaleceniach producenta opisano jednak sposób obejścia problemu.
wydanie internetowe www.heise-online.pl