Video: Microsoft Flight Simulator - Обновление 7 - США (Settembre 2024)
Microsoft offre agli amministratori una pausa con una versione relativamente leggera di Patch Tuesday a settembre. La società ha corretto 42 bug in quattro bollettini relativi a Internet Explorer,.NET Framework, Utilità di pianificazione di Windows e Microsoft Lync.
Applica l'aggiornamento di Internet Explorer. Potrebbe proteggerti dagli attacchi del giorno zero.
Bug Chatty IE chiuso
Microsoft ha valutato un solo aggiornamento, la patch cumulativa per Internet Explorer (MS14-052), come "critica". Ciò significa che Microsoft sa che i bug sono già sotto attacco o si aspetta che gli aggressori possano sfruttarli entro 30 giorni. I difetti possono anche comportare l'esecuzione di codice in modalità remota.
Microsoft ha risolto 37 vulnerabilità in IE, incluse 26 vulnerabilità di corruzione della memoria divulgate privatamente da Internet Explorer 6 fino all'ultimo Internet Explorer 11. Microsoft ha anche corretto il bug di divulgazione delle informazioni che era stato utilizzato negli attacchi zero-day associati all'operazione SnowMan campagna di cyberespionage all'inizio di quest'anno.
In quella campagna, gli aggressori hanno scoperto il bug di divulgazione delle informazioni per scoprire se il computer infetto eseguiva il Enhanced Mitigation Experience Toolkit (EMET) di Microsoft e altre protezioni di sicurezza. EMET è un toolkit gratuito di Microsoft con varie tecniche di mitigazione degli exploit che proteggono dalle comuni vulnerabilità alla corruzione della memoria. Le aziende possono utilizzare EMET per difendersi temporaneamente dagli attacchi zero-day. La vulnerabilità (CVE-2013-7331) in IE "consente agli aggressori remoti di determinare l'esistenza di nomi di percorso locali, nomi di percorso condivisi UNC, nomi di host intranet e indirizzi IP intranet esaminando i codici di errore", ha affermato Amol Sarwate, direttore dei laboratori di vulnerabilità di Qualys. Se gli strumenti erano presenti, gli attaccanti hanno terminato l'attacco.
"Questa patch è il tentativo di Microsoft di limitare la capacità dei kit di exploit che sono stati identificati utilizzando una tecnica di divulgazione delle informazioni per determinare se sono stati installati particolari software di sicurezza", ha affermato Craig Young, ricercatore di sicurezza con Tripwire.
Bug di negazione del servizio, oh mio
I rimanenti bollettini per.NET, Utilità di pianificazione di Windows e Microsoft Lync hanno risolto vari bug di negazione del servizio e sono stati classificati come "importanti" o probabilmente non determinano l'esecuzione di codice in modalità remota. Affinché un utente malintenzionato possa sfruttare la vulnerabilità di escalation di privilegi nell'Utilità di pianificazione (MS14-054), la persona dovrebbe prima disporre di credenziali valide e accesso locale a un sistema interessato per eseguire il proprio codice. Il problema è presente in Windows 8, Windows 8.1, Windows RT e Windows RT 8.1, nonché in Windows Server 2012 e Windows Server 2012 R2. L'aggiornamento di.NET framework (MS14-053) riguarda la maggior parte delle versioni di.NET e le installazioni ASP.NET abilitate su IIS. Un bug denial-of-service in Microsoft Lync Server 2010 e Lync Server 2013 potrebbe consentire agli aggressori di inviare richieste SIP dannose al server Lync.
"Se si esegue ASP.NET o si inviano richieste di riunioni di Lync a terzi, questi aggiornamenti sono particolarmente importanti per la propria organizzazione", ha affermato Tyler Reguly, responsabile della ricerca sulla sicurezza di Tripwire. "In alcuni casi, possono anche essere considerati critici; la negazione del servizio non è qualcosa da prendere alla leggera."
Altre patch in arrivo
Solo perché il ciclo di aggiornamento di questo mese è un po 'leggero, non significa che sia tempo di essere compiacenti. Adobe ha aggiornato Flash Player oggi come parte del suo ciclo di aggiornamento periodico, ma ha ritardato le patch che risolvono vulnerabilità critiche in Adobe Reader e Acrobat sia per Windows che per OSX. Quelle patch saranno disponibili la prossima settimana, ha detto la compagnia. Le patch sono state ritardate a causa di problemi rilevati durante i test. Adobe non ha approfondito ulteriormente i veri difetti oltre a definirli prioritari. Quindi stai attento!
