[vc_row][vc_column width=”2/3″][vc_wp_text]

[xyz-ips snippet=”metadatatitle”]

 

[/vc_wp_text][/vc_column][vc_column width=”1/3″][/vc_column][/vc_row][vc_row][vc_column width=”2/3″][vc_column_text]

A Microsoft kiadta a júniusi hibajavításait, amelyeket mind otthoni, mind vállalati, intézményi környezetekben minél hamarabb célszerű feltelepíteni. Már csak azért is, mert számos kritikus veszélyességű sérülékenységnek lehet búcsút inteni.

A Microsoft júniusi hibajavító keddje meglehetősen változatosra sikerült, ugyanis a Windows-t és számos alkalmazását érintő frissítésekről számolt be. Összesen hét biztonsági közleményt adott ki, amelyek közül három kritikus, míg a maradék négy fontos veszélyességi kategóriába került. Mindez azt is jelenti, hogy több olyan biztonsági rés befoltozása történt meg, amelyek kihasználásával bizonyos esetekben akár teljes mértékben átvehetik a támadók az érintett rendszerek feletti irányítást, és azokon tetszőleges műveleteket hajthatnak végre. A júniusi hibajavító kedd főszereplője is a Windows volt, de a kijavított sérülékenységek számát tekintve az Internet Explorer sem “panaszkodhat”. Mindezek mellett biztonságosabbá vált a .Net keretrendszer, a Lync valamint a Dynamics AX. Vagyis ezúttal a vállalati és intézményi rendszerek üzemeltetői számára is adott munkát a Microsoft, hiszen e környezetek esetében nemcsak a frissítések telepítése, hanem a patch-ek megfelelő tesztelése is igencsak fontos tevékenységnek számít.

Megkapta a foltjait a Windows

Ezúttal a Windows legsúlyosabb sérülékenységére az RDP (Remote Desktop Protocol) protokoll támogatását biztosító egyik összetevőben derült fény. A hiba alapvetően egy memóriakezelési hibára vezethető vissza, amely akkor jelentkezhet, amikor a támadó speciálisan szerkesztett RDP-csomagokat küld sebezhető rendszerek felé. Amennyiben sikerül saját javára fordítania a biztonsági rést, akkor jogosulatlan távoli kódfuttatásra nyílhat lehetősége, és tulajdonképpen tetszőleges műveleteket hajthat végre. Így például programokat telepíthet, fájlokat tekinthet meg, manipulálhat vagy törölhet, illetve újabb rendszergazdai fiókokat hozhat létre. A hibajavítások telepítésére minden jelenleg támogatott Windows verzió esetében szükség van, ezért a Windows XP, a Windows Vista, a Windows 7, a Windows Server 2003 és a Windows Server 2008 (és R2) operációs rendszerek frissítéséről is gondoskodni kell.

A Microsoft a Windows kernel, illetve egyes kernel módú driverek kezelése kapcsán felmerült problémákról két közleményben adott hírt, és összesen hét sebezhetőségről rántotta le a leplet. Ezek a hibák többnyire az ütemezővel, a BIOS kezelésével valamint kernelszintű driverekhez tartozó objektumok nem megfelelő feldolgozásával hozhatók összefüggésbe. A fontos veszélyességi besorolással rendelkező sérülékenységek jogosulatlan műveletvégrehajtást tehetnek lehetővé a támadók számára.

Több mint egy tucat javítással bővült az Internet Explorer

[image img=”https://betahu.blackcell.hu/wp-content/uploads/2013/03/microsoft_4.jpg” url=”https://betahu.blackcell.hu/wp-content/uploads/2013/03/microsoft_4.jpg” align=”center”/]

Már korábban lehetett valószínűsíteni, hogy júniusban ismét sor kerül az Internet Explorer foltozására. Arra azonban nem igen lehetett számítani, hogy a böngésző nem kevesebb mint tizenhárom hibajavítással gyarapodik. Ráadásul ezek közül számos kritikus veszélyességűnek minősül. Ugyanakkor azt is meg kell jegyezni, hogy a kockázatok mértéke jelentősen függ attól, hogy az Internet Explorert futtató felhasználó milyen szintű jogosultságok birtokában használja a számítógépét. A sérülékenységek többsége speciálisan szerkesztett weboldalak megtekintésekor válhat kihasználhatóvá. A hibák között memóriakezelési, HTML-feldolgozási és eseménykezelési problémák is feltűnnek. A Microsoft által kiadott frissítések az Internet Explorer 6-os, 7-es, 8-as és 9-es verzióit is érintik.

Kritikus hiba a .Net keretrendszerben

Ebben a hónapban a Windows és az Internet Explorer mellett a .Net keretrendszerhez jelent meg kritikus veszélyességi besorolással ellátott közlemény. A Microsoft korábban ugyanis egy olyan bejelentést kapott, miszerint a keretrendszerében egy súlyos memóriaelérési rendellenesség található, aminek kihasználásával jogosulatlan távoli kódfuttatásra is lehetőség adódhat. A vizsgálatok során kiderült, hogy a hiba különösen kockázatos a webes környezetekben, ugyanis a támadók speciálisan szerkesztett XAML Browser Applications (XBAPs) alkalmazások, illetve weboldalak révén is kiaknázhatják a hibában számukra rejlő lehetőségeket. A sebezhetőség a .Net Framework 2.0-ás, 3.5.1-es és 4-es kiadásaiban is megtalálható.

Hibák a Lync-ben

A Microsoft a Communicator 2007 R2 valamint a Lync 2010 kapcsán összesen négy sérülékenységet orvosolt. A fontos veszélyességi kategóriába tartozó hibák közül kettő a TrueType kompatibilitás nem megfelelő kivitelezése miatt merült fel. Ezek a hibák olyan megosztott dokumentumok és tartalmak révén használhatók ki, amelyek speciálisan szerkesztett TrueType betűtípusokat tartalmaznak. Mindemellett a Microsoft egy HTML-feldolgozási és egy DLL-betöltési problémáról is beszámolt, amelyek szintén biztonsági kockázatokat vetnek fel, és jogosulatlan műveletek végrehajtására adhatnak módot.

Frissítést kapott a Dynamics AX

[image img=”https://betahu.blackcell.hu/wp-content/uploads/2013/03/microsoft_3.jpg” url=”https://betahu.blackcell.hu/wp-content/uploads/2013/03/microsoft_3.jpg” align=”center”/]

A Dynamics AX – mint a hibajavító keddek nem éppen megszokott szereplője – is megjelent a júniusi frissítések által érintett termékek listáján. Természetesen nem véletlenül, hiszen egy meglehetősen veszélyes sebezhetőségtől szabadították meg a fejlesztők. Tulajdonképpen egy XSS (cross-site scripting) sérülékenységről van szó, amely a Dynamics AX Enterprise Portalt érinti. A Microsoft szerint a hiba kihasználásával a támadók különféle jogosultságokat szerezhetnek, és akár bizalmas adatokhoz is hozzáférhetnek. Ehhez pedig nem kell mást tenniük, mint rávenni a felhasználókat arra, hogy speciálisan összeállított URL-ekre kattintsanak. Természetesen ezeket a linkeket e-mailekben is eljuttathatják a kiszemelt szervezetekhez. A cég tájékoztatása szerint az Internet Explorer egyes biztonsági zónái képesek csökkenteni a kockázatokat. Ennek ellenére a Microsoft Dynamics AX 2012 frissítésére mindenképpen célszerű figyelmet fordítani.

A hibajavítások az automatikus frissítési szolgáltatások segítségével telepíthetők, vagy a Microsoft weboldalairól tölthetők le. A sebezhetőségekkel kapcsolatban további információk az Isidor Biztonsági Központ weblapjain olvashatók.

Forrás: biztonsagportal.hu

[/vc_column_text][/vc_column][vc_column width=”1/3″][vc_wp_text][xyz-ips snippet=”metadatatime”]

[/vc_wp_text][/vc_column][/vc_row]

Pin It on Pinterest