Patch Tuesday: Zabezpečení Focus jako Microsoft, Oracle Patch Bugs

Společnost Microsoft vykopla věci z úterního rána se 11 bezpečnostními aktualizacemi včetně oprav pro kritické bezpečnostní chyby ve Windows Active Directory, Internet Explorer, Excel a server Microsoft Host Integration Server, který integruje počítače se systémem Windows se sálovými počítači IBM.

Bezpečnostní experti tvrdí, že aktualizace Internet Explorer, která opravuje šest chyb v prohlížeči, je sledována. To je proto, že je považováno za kritické pro uživatele aplikace Internet Explorer 6 se systémem Windows XP - velmi běžnou konfigurací v podniku.

Ale zákazníci, kteří používají Windows Active Adresář na starších počítačích se systémem Windows 2000 by měl přesunout aktualizaci MS08-060 Active Directory na vrchol fronty patchů, říká Don Leatham, ředitel řešení a strategie společnosti Lumension Security. Protože server Active Directory může být používán k nastavení oprávnění na jiných počítačích a ke správě uživatelů v síti, převzetí tohoto zařízení "by bylo svatým grálem pro někoho, kdo se snaží dostat do společnosti a úplně ji narušit," řekl. > Normálně jsou servery služby Active Directory zablokovány v bráně firewall, což znamená, že by útočník pravděpodobně musel být v interní síti k útoku, řekl Eric Schultze, šéf technologického poradce společnosti Shavlik Technologies. Ale chyba "znamená, že jakýkoli interní, nespokojený uživatel může mít úplnou kontrolu nad doménami Windows 2000 a řadiči domény," uvedl v okamžiku.

Zmírnění této obavy je však skutečnost, že společnost Microsoft nemá žádné zprávy o tom zranitelnost byla v útoku zneužita. Zatímco je pravděpodobné, že by útočník mohl havarovat počítač se systémem Windows 2000 pomocí této chyby, "vytvoření funkčního kódu zneužití, který by mohl způsobit spuštění vzdáleného kódu, je obtížné," uvedl Microsoft v poznámce na svých webových stránkách.

Celkem 20 bezpečnostních chyb byly opraveny v 11 aktualizacích společnosti Microsoft. K dispozici byly také šest méně důležitých aktualizací, které společnost Microsoft označila jako "důležité", pro různé součásti systému Windows a "střednědobou" opravu, která opravuje chybu, která by mohla útočníkovi umožnit sledování informací od uživatele sady Office.

Aktualizace zabezpečení společnosti Oracle, očekávaný v 1 hod Tichomoří bude obsahovat opravy 36 chyb v řadě produktů Oracle, včetně vlajkové lodi společnosti, aplikačního serveru, E-Business Suite a serverových a vývojových nástrojů WebLogic. Opravy chyb jsou také naplánovány pro produkty společnosti JD Edwards a PeopleSoft.

Je to neobvyklé, že společnost Microsoft i společnost Oracle vybíhají záplaty ve stejný den. Aktualizace zabezpečení společnosti Microsoft vyšly v druhý úterý každého měsíce, známý jako Patch Tuesday v oboru. Ale záplaty společnosti Oracle jsou čtvrtletní záležitostí, která byla doručena v úterý nejpozději v polovině měsíce. Obvykle se v patnáctém úterý v měsíci objevují záplaty Oracle, ale tento měsíc se datová data Microsoft a Oracle shodovala.

Úterní aktualizace společnosti Microsoft přicházela s trochu více informací pro zákazníky společnosti. Zahrnuli novou sekci s názvem "Exploitability Index", která byla navržena tak, aby usnadnila uživatelům Windows zjistit, které chyby jsou s největší pravděpodobností zneužívány hackery.

Společnost Microsoft nyní vyhodnotila všechny své aktualizace zabezpečení s následujícími popisy: "Konzistentní Exploit kód pravděpodobné," "Nekonzistentní Exploit kód pravděpodobné" nebo "Funkční kód exploit je nepravděpodobné."

Společnost uvedla, že exploit kód byl pravděpodobný pro chyby v kritických aktualizacích Internet Explorer, Microsoft Host Integration Server a Excel. Jedna z chyb aplikace Internet Explorer, která by mohla umožnit útočníkovi získat zvýhodněné oprávnění na počítači se systémem Windows, byla již veřejně zveřejněna, ale nepředpokládá se, že byla použita v útoku v reálném světě, tvrdí Microsoft.

Jiný první: Společnost Microsoft poskytla jistým bezpečnostním partnerům časný přístup k jeho aktualizacím tento měsíc, aby mohli detekovat detekci útoků do svého softwaru, když byly opravy zveřejněny v úterý.