Vídeo: Windows updates Patch Tuesday and Bug fixing updates explained September 16th 2020 (Novembro 2024)
Ontem, a Microsoft publicou 13 boletins de segurança cobrindo cerca de 47 bugs em um Patch Tuesday um pouco maior que o normal. Entre estes, quatro foram listados como críticos e o restante marcado como importante. Prepare-se para atualizar!
Curiosamente, uma décima quarta atualização relacionada a um problema de negação de serviço no.NET foi anunciada na semana passada, mas foi retida para novos testes. Talvez a Microsoft deseje evitar parte da confusão do patch do mês passado na terça-feira, onde uma atualização teve que ser realizada após o lançamento.
Internet Explorer e Engenharia Social
A Microsoft abordou dez vulnerabilidades com uma atualização cumulativa para o Internet Explorer, afetando as versões seis a 10. Isso significa que praticamente todos serão afetados por essas alterações, o que é o melhor, pois alguns desses erros permitiram a execução remota de código.
"As vulnerabilidades mais graves podem permitir a execução remota de código se um usuário exibir uma página da Web especialmente criada usando o Internet Explorer", escreveu a Microsoft. "Um invasor que explorar com êxito a mais grave dessas vulnerabilidades poderá obter os mesmos direitos de usuário que o usuário atual". Esse é outro ótimo argumento para nunca usar uma conta com privilégios de administrador para o trabalho cotidiano.
O Microsoft Word e o Excel verão atualizações corrigindo uma vulnerabilidade de formato de arquivo, onde um arquivo do Office especialmente criado pode ser usado para executar o código no computador da vítima. "A Microsoft classifica essas vulnerabilidades apenas como" importantes "porque elas exigem que o alvo coopere", escreve o CTO da Qualy, Wolfgang Kandek. "No entanto, os atacantes provaram repetidas vezes que possuem as técnicas de engenharia social necessárias para superar esse obstáculo com facilidade".
De fato, os relatórios que vimos colocam a engenharia social no topo das principais ameaças contra os usuários, assim como os arquivos contaminados, como os tratados com essas atualizações do Office. Esses arquivos são incrivelmente perigosos porque parecem legítimos, e vimos como eles foram usados com grande efeito em ataques avançados de ameaças persistentes.
Outlook e outros
As versões populares de 2007 e 2010 do Microsoft Outlook também foram corrigidas este mês, corrigindo uma vulnerabilidade particularmente desagradável. "Um invasor pode explorar o algoritmo de análise de certificados assinando um email e aninhando mais de 256 certificados na assinatura", explicou Kandek. "O ataque causa um estouro de buffer, mesmo se apenas visualizado no painel de visualização do Outlook".
Embora a Microsoft diga que o ataque do Outlook é difícil de realizar, é perigoso, já que a vítima não precisa fazer nada para que o ataque seja bem-sucedido.
Além disso, a Microsoft lançou patches críticos para o Sharepoint 2003, 2007, 2010 e 2013, além do Microsoft Visio. Os patches rotulados como capa importante OLE, arquivos de temas do Windows, Microsoft Access, Office IME chinês, drivers no modo Kernal, Windows Service Control Manager, FrontPage e Active Directory.
Imagem via usuário do Flickr Dan Dickinson
