Video: SECURITY UPDATES today 99 Security vulnerabilities in Windows IE and Edge Adobe flash February 11th (Nobyembre 2024)
Inayos ng Microsoft ang 29 na kahinaan sa Internet Explorer at suportado ang mga bersyon ng Windows bilang bahagi ng Hulyo Patch Martes. Ang bahagi ng leon ng mga kahinaan na naayos na ito ay nasa Internet Explorer.
Sa anim na mga bulletins ng seguridad na inilabas, dalawa lamang sa kanila - para sa Internet Explorer at Windows Journal - ay minarkahan bilang kritikal, ayon sa payo ng Microsoft ng Patch Tuesday. Tatlo ang na-rate bilang mahalaga, at ang pangwakas na bulletin ay may katamtamang rating lamang. Parehong ang mga bulletins ng IE at Windows Journal ay tumutugon sa mga bahid ng pagpapatupad ng code ng maliliit na code. Ang mga mahahalagang bulletins na naayos ang taas ng pribilehiyo na mga bahid sa on-screen keyboard, driver ng pansamantalang function, at DirectShow, at ang katamtaman na bulletin ay nagtakda ng isang pagtanggi sa serbisyo ng bug sa Microsoft service bus.
Sinabi ng Microsoft na hindi nito napansin ang anumang pag-atake sa ligaw na pag-target sa alinman sa mga bahid na ito.
IE Oh Aking
Inayos ng Microsoft ang 24 na mga kapintasan sa Internet Explorer (MS14-037), isa sa publiko ang nagsiwalat ng bug at 23 pribadong naiulat. Ito ay matapos i-tap ng Microsoft ang 59 na kahinaan sa Internet Explorer noong nakaraang buwan. Ang mga isyu ay kritikal para sa Internet Explorer 6 hanggang Internet Explorer 11 sa mga makina ng Windows, ngunit katamtaman lamang sa mga server ng Windows.
Maaaring samantalahin ng mga umaatake ang mga bug ng IE sa pamamagitan ng pagdaraya sa mga gumagamit sa pagbisita sa isang espesyal na nakagawa ng malisyosong site. Kapag ang pag-atake ay nagtagumpay, ang umaatake ay magkakaroon ng parehong mga karapatan ng gumagamit tulad ng nakompromiso na gumagamit. Ang mga gumagamit na may mas kaunting mga karapatan - hindi naka-log in bilang Administrator, halimbawa - ay hindi gaanong maapektuhan.
"Ito ay nananatiling makikita kung nilinis ng Microsoft ang aparador ng kahinaan sa Internet Explorer para sa susunod na ilang buwan o kung ito ang bagong normal, " sinabi ni Marc Maiffret, CTO ng BeyondTrust.
Malaswang Windows Software
Ang isyu sa Windows Journal (MS14-038) ay maaaring payagan ang mga umaatake na malayang magpatupad ng malisyosong code. Ang Windows Journal ay naka-install nang default sa lahat ng mga suportadong bersyon ng Windows, mula sa Vista hanggang 8.1, ngunit hindi karaniwang ginagamit. Ang Windows Journal ay maaaring magamit sa mga aparato na pinapagana ng touch pati na rin ang mga hindi nakaka-ugnay na mga computer sa Windows upang makuha ang mga sulat na isinulat ng kamay. Ang kahinaan ay sa kung paano binuksan ng Windows ang mga file na nai-save sa format na Windows Journal (.jnt).
Ang bug ng Windows Journal ay isang "mahusay na halimbawa kung paano mai-abuso ang hindi nagamit na software ng mga umaatake, " sabi ni Craig Young, isang security researcher sa Tripwire.
Ang Windows Journal ay hindi naka-install sa mga bersyon ng Windows Server.
Inirerekomenda ni Maiffret ang paggamot sa extension ng file na parang isang maipapatupad at i-block ito sa mga gateway ng Web at email.
Kung may isang kadahilanan kung bakit hindi maaaring mai-install agad ang dalawang kritikal na mga patch, ang pag-install ng Windows Journal at paglipat sa ibang browser ng Web ay sapat na mga workarounds. "Habang ang isang patch ay palaging ginustong, ang paglilimita sa ibabaw ng pag-atake ay isang mahusay na backup, " sabi ni Tyler Ranguly, tagapamahala ng security research para sa Tripwire.
Natitirang Patches
Ang mga bulletins na may marka ng mahalagang mga nakapirming mga bug na walang takip sa panahon ng pwn2own contest noong Marso. Ang lokal na pag-taas ng mga isyu sa pribilehiyo ay maaaring samantalahin upang mabigyan ng higit na hindi mapakinabangan na mga gumagamit ang higit na pag-access sa mahina ang sistema. Maaari silang magamit sa mga nakakulong na pag-atake upang ikompromiso ang system, iminungkahi ni Ross Barrett, senior manager ng security engineering sa Rapid7. "Ibinigay ang likas na katangian ng kanilang pagsisiwalat, dapat kilalang magkaroon ng pagsasamantala sa code, " babala ni Barrett.
Ang sampal na driver ng driver ng function ay maaaring ipares sa "isang bagay tulad ng mga kahinaan sa Internet Explorer mula sa buwang ito upang payagan ang para sa pag-atake ng mga web attack na magreresulta sa pagpapatupad ng code sa kernel, " sabi ni Maiffret.
