Video: Microsoft Flight Simulator - Обновление 7 - США (September 2024)
Microsoft släppte sju säkerhetsbulletiner som fixar mer än 20 sårbarheter för March Patch tisdag. Påverkade applikationer och komponenter inkluderar Internet Explorer, Silverlight, Visio Viewer, Sharepoint, OneNote, Office for Mac och en kärndrivrutin i alla Windows-versioner.
Av bulletinerna bedömdes fyra som kritiska och tre lika viktiga, enligt Microsofts säkerhetsrådgivning som släpptes tisdag. Den kumulativa Internet Explorer-korrigeringen, som har högsta prioritet, gäller alla versioner av Internet Explorer som stöds från version 6 till 10.
"Ganska mycket alla som kör Windows, och massor av Microsoft-butiker, bör flitigt lappa system idag, " skrev Kurt Baumgartner, en senior säkerhetsforskare med Kaspersky Lab, på SecureList.
IE-rådgivningen gäller inte användare som laddade ner och installerade IE 10 för Windows 7 som släpptes för bara några veckor sedan, eftersom Microsoft redan hade inkluderat dessa korrigeringar. Även om ingen av dem för närvarande riktas in i naturen, är IE ett frekvent mål och bör lappas omedelbart.
"Av de nio adresserade CVE: erna, sju av dem påverkar varje version av Internet Explorer som stöds, så angriparna har många val när de väljer en sårbarhet att utnyttja inom en snar framtid, " säger Marc Maiffret, CTO för BeyondTrust, till SecurityWatch .
Ingen av de sårbarheter som avslöjades som en del av Pwn2Own-tävlingen på CanSecWest förra veckan ingår i den här månadens patch, men det är en säker satsning att de kommer snart.
Spectre av Stuxnet
Sårbarheten i kärnlägesdrivrutinen som har lappats den här månaden kan tyckas likna buggarna som lappades i februari och januari, men är en mycket mer skrämmande fel. Bristen i USB-enhetsdrivrutinen kan utlösas bara genom att någon sätter in en USB-enhet i datorn. Det spelar ingen roll om datorn är låst eller om användaren är utloggad; datorn måste bara vara på.
Microsoft bedömde denna bulletin som bara "viktig" i motsats till "kritisk" eftersom attacken kräver att angriparen har fysisk åtkomst till datorn. Det finns ingen fjärrvektor, vilket betyder att den bara kommer att utnyttjas i mycket begränsade och riktade attacker, sade Maiffret.
Men andra experter blev oroade. "Föreställ dig vad en väl motiverad vaktmästare kan göra med denna sårbarhet på bara en kväll, " sa Andrew Storms, chef för säkerhetsoperationer på nCircle. Offentliga kiosker och samlokaliseringscentra som inte har låsta skåp är alla i riskzonen. "Potentialen för skada med denna sårbarhet kan inte övervägas, " sade Storms.
Bara för att ge en uppfattning om hur allvarlig denna sårbarhet är, utnyttjade Stuxnet funktionen "auto-run" som låter Windows automatiskt köra kod på en USB-enhet utan användarinmatning. Även om automatisk körning sedan dess har inaktiverats, skulle den senaste USB-sårbarheten komma igång innan automatisk körning skulle ha nåtts, enligt Rapid7s Ross Barrett.
"Du har sett denna attackmetod i filmer i flera år, och den visas nu i företag över hela världen, " sade Storms.
Silverlight, Office, SharePoint, Oh My!
En av de kritiska bulletinerna fixade problem i Microsoft Silverlight, som var "intressant eftersom jag inte var medveten om att någon i världen faktiskt hade distribuerat Silverlight, " berättade Rapid7's Barrett till SecurityWatch . För dem som har Silverlight är detta en allvarlig fråga, "i nivå med en Flash-sårbarhet, " sa Barrett. Bugg påverkar alla versioner av Silverlight, men korrigeringen gäller endast Silverlight 5. Användare måste uppdatera Silverlight innan de applicerar korrigeringen.
Patch för Visio 2010 Viewer är rankad som kritisk eftersom den tillåter exekvering av kodkod. En möjlig attackvektor lurar en användare att läsa ett missbildat Visio-dokument skickat via e-post. Men Visio-sårbarheten kräver att Visio Viewer ActiveX-controller installeras, sa Barrett. Administratörer kan inaktivera den funktionen tills korrigeringen tillämpas fullt ut som ett mildringssteg, sade han. SharePoint-bristen tillåter angripare att injicera skadlig kod i sparade frågor med hjälp av skript över flera webbplatser. Den frågan, när den körs, kunde köra attackkoden med administratörsbehörighet.
OneNote och Outlook for Mac hade båda patchar den här månaden och är rankade som viktiga. En angripare kan lura användaren att öppna en skadlig OneNote-fil eller -mapp, vilket skulle utlösa felet att kringgå lösenord och krypteringsskyddsmekanismer för att läsa användarens OneNote-filer och -mappar.
