Fontosra sikerült a hibajavító kedd

A Microsoft augusztusban jelentős mennyiségű hibajavítást tett letölthetővé, amikor tizenhárom közlemény keretében összesen huszonkét sérülékenységről számolt be. A tegnapi nap azonban nem volt ennyire mozgalmas. A cég öt biztonsági közleményt tett elérhetővé, amelyek tizenöt sérülékenység orvoslására adnak lehetőséget. A Microsoft által nyilvánosságra hozott sebezhetőségek egyik legszembetűnőbb jellemzője, hogy nem található közöttük kritikus veszélyességű. Ez egyben azt is jelenti, hogy elsősorban olyan sérülékenységek orvoslására került sor, amelyek felhasználói közreműködés nélkül nem használhatók ki, és nem ruházzák fel automatikusan rendszergazdai jogosultsággal a támadókat. Ennek ellenére korántsem célszerű félvállról venni a frissítések telepítését, hiszen a bejelentett hibák kockázatot jelentenek a rendszerekre, és legtöbbjük, így vagy úgy, de végül jogosulatlan hozzáférést biztosíthat az érintett rendszerekhez.

A szeptemberi javítások között mind az egyéni felhasználók, mind a vállalatok, intézmények számára akad fontos frissítés, hiszen az asztali számítógépekre szánt operációs rendszerek és szoftverek mellett a Windows Server valamint egyes szerveralkalmazások is biztonságosabbá tehetők.

Windows javítások

A Microsoft két hibajavítást adott ki a Windows-hoz. Ezek közül az egyik a WINS (Windows Internet Name Service) kapcsán foltoz be egy biztonsági rést. A hiba speciálisan szerkesztett WINS-csomagok feldolgozásakor okozhat problémákat, és a támadókat különféle jogosultságok megszerzéséhez, illetve jogosultsági szint emeléséhez segítheti hozzá. A sebezhetőség kizárólag akkor válhat kihasználhatóvá, ha a támadó be tud jelentkezni a helyi rendszerre, azaz ismer érvényes felhasználónevet és jelszót. A sérülékenység miatt a Windows Server 2003 valamint a Windows Server 2008 frissítésére van szükség.

A másik Windows hiba egy DLL-kezelési rendellenességre vezethető vissza. Ennek hatására a támadók tetszőleges kódokat futtathatnak le az érintett rendszereken, amelyek felett akár teljes mértékben átvehetik az irányítást. Ehhez azonban arra is szükség van, hogy az aktuálisan bejelentkezett felhasználó kiemelt jogosultságokkal rendelkezzen. A sebezhetőség akkor járulhat hozzá károkozásokhoz, amikor a felhasználó txt, rtf vagy doc kiterjesztésű állományokat nyit meg egy olyan megosztott könyvtárból, amelyben egy speciálisan szerkesztett DLL-fájl is megtalálható. A hiba miatt az összes jelenleg támogatott Windows verzió sebezhető. A Microsoft által kiadott frissítések érintik többek között az MMC (Microsoft Management Console), az EAPHost Authenticator Service és a HyperTerminal összetevőket, illetve szolgáltatásokat is.

Foltok az Excelre

Az Excel alkalmazás összesen öt hibajavítással gyarapodott. Ezek elsősorban memóriakezelési sebezhetőségeket orvosolnak. A biztonsági rések speciálisan szerkesztett Excel állományok révén válhatnak kihasználhatóvá, és annál nagyobb kockázatot jelentenek, minél több jogosultsággal rendelkezik a dokumentumokat megnyitó felhasználó. Frissítések az Excel 2003-as, 2007-es és 2010-es verzióihoz valamint a Mac OS X kompatibilis kiadásokhoz is elérhetővé váltak.

Az Office kapcsán azonban nemcsak az Excel kapott foltokat, hanem egyéb összetevők is. A fejlesztők egy DLL-kezelési valamint egy memóriakezelési rendellenességet is megszüntettek, amelyek speciálisan összeállított - elsősorban Word - állományokkal használhatók ki. A két hiba miatt az Office 2003, 2007 és 2010 is javításra szorul.

Végül, de nem utolsó sorban: SharePoint

A Microsoft SharePoint, a Windows SharePoint Services és a Groove összesen hat biztonsági réstől szabadult meg. Ezek többsége XSS (cross-site scripting) alapú támadásokra adhat lehetőséget a támadók számára, akik különféle jogosultságokat szerezhetnek a felhasználók megtévesztésével. A sebezhetőségek speciálisan szerkesztett weboldalakkal vagy linkekkel használhatók ki. A Microsoft szerint a legtöbb kockázatot rejtő sérülékenységek ellen az Internet Explorer 8-as, illetve 9-es verzióiba integrált XSS-szűrő képes fellépni, már ha az bekapcsolt állapotban van. Az XSS-sebezhetőségek mellett script feldolgozási és HTML-kezelési sebezhetőségektől váltak meg az érintett alkalmazások.

A hibajavítások az automatikus frissítési szolgáltatások segítségével telepíthetők, vagy a Microsoft weboldalairól tölthetők le. A sebezhetőségekkel kapcsolatban további információk az Isidor Biztonsági Központ weblapjain olvashatók.