Így búcsúztatta az évet a Microsoft

Megérkeztek az év utolsó Microsoft hibajavításai, amelyek zöme kritikus veszélyességű sebezhetőségek ellenszeréül szolgál.
 

A Microsoft a 2015-ös évet egy meglehetősen nagy frissítéssel zárta. A decemberi hibajavító kedden ugyanis 12 biztonsági közleményben számolt be a Windows és a különféle alkalmazások sérülékenységeiről. Elsősorban nem is a közlemények száma a mérvadó, hanem az, hogy a tájékoztatók közül nyolc kritikus veszélyességi besorolást kapott. Mindez azt is jelenti, hogy a biztonsági rések többsége teljes mértékben kiszolgáltatottá tudja tenni a számítógépeket a támadásokkal, illetve a különböző fenyegetettségekkel szemben.
 
A decemberi hibajavítások többsége ezúttal is a Windows-hoz érkezett, de most sem maradt ki a sorból az Internet Explorer, az Edge és az Office sem. Mindezek mellett biztonságosabbá vált a Silverlight, a Skype for Business, illetve a Lync is.
 
Sebezhető böngészők

A decemberi hibajavító kedd főszereplői között a Microsoft webböngészőit találjuk. Az Internet Explorer és az Edge is kritikus veszélyességű sérülékenységektől szabadítható meg a frissítések telepítésével. A korábbi hónapokban megszokott módon, ezúttal is egy-egy közlemény olvasható a két böngészőhöz. Most is az Internet Explorer kapta a több foltot egészen pontosan 30-at. Az Edge ennek körülbelül a felével "beérte". A sebezhetőségek leginkább a jogosulatlan távoli műveletvégrehajtás, a jogosulatlan kódfuttatás, az XSS-alapú támadások, illetve a biztonsági megkötések megszegésének kockázatát vetik fel. A hibák zöme speciálisan szerkesztett weboldalak révén válhat kihasználhatóvá, és az esetek többségében memóriakezelési rendellenességekre vezethetők vissza.
 
Foltok a Windows-ra

A Microsoft a Windows-hoz kritikus és fontos besorolású hibajavításokat egyaránt letölthetővé tett. A legveszélyesebb sebezhetőségek jogosulatlan kódfuttatásra adhatnak lehetőséget, és legrosszabb esetben az érintett rendszerek feletti teljes irányítás átvételét eredményezhetik. Az operációs rendszerhez összesen hét közlemény vált elérhetővé, amelyek közül három különösen kockázatos biztonsági résekről árulkodik. E sérülékenységek a VBScript kezelést, a DNS-t és az Uniscribe API-kat sújtják. A DNS-sebezhetőség kizárólag a kiszolgálókra szánt, Server verziókban mutatható ki - beleértve a Windows Server 2012 R2-öt is -, és a Local System jogosultsági szintnek megfelelő kódfuttatásra ad módot.
 
A Windows kevésbé kockázatos, de még így is fontos kategóriába sorolt javításai az alábbi összetevőket, funkciókat veszélyeztetik:
- Windows Media Center
- Windows Pragmatic General Multicast (PGM)
- kernel módú driverek.
 
A decemberi hibajavítások miatt az összes jelenleg támogatással rendelkező Windows verziót célszerű frissíteni.
 
Biztonsági rések az Office-on

A Microsoft kritikus veszélyességűnek ítélte meg az Office szoftvercsomaghoz tartozó egyes alkalmazások legutóbb feltárt sebezhetőségeit. Ezt persze nem megalapozatlanul tette, hiszen kiderült, hogy a szóban forgó sérülékenységek jogosulatlan távoli műveletvégrehajtásra adhatnak módot. A frissítések telepítésével olyan sérülékenységek orvosolhatók, amelyek leginkább Word dokumentumok és Excel fájlok megnyitásakor okozhatnak problémákat. Ilyen esetekben memóriakezelési rendellenességek léphetnek fel, amik nemkívánatos kódfuttatást eredményezhetnek. Az érintett alkalmazások között a 2007-es, a 2010-es, a 2013-as és a 2016-os verziók is megtalálhatóak, beleértve a Mac-kompatibilis változatokat is.
 
Széles körű frissítés

A hibajavító kedden megjelent közlemények közül az egyik leginkább figyelemreméltó az a kritikus besorolású tájékoztató, amely által érintett termékek meglehetősen széles skálán mozognak. Az egyik grafikus összetevő sérülékenységei ugyanis a Windows, a .Net Framework, az Office, a Skype for Business, a Lync és nem utolsó sorban a Silverlight kapcsán is kockázatokat hordoznak. A hibákat a Windows betűtípus-kezelésért felelős egyik komponense tartalmazza, és weboldalakkal, illetve ártalmas dokumentumokkal is kihasználhatóvá válhat.
 
Megerősítették a Silverlightot

A Microsoft a Silverlight kapcsán összesen három biztonsági hibáról rántotta le a leplet. Ezek közül egy távoli kódfuttatást segíthet elő, míg a másik kettő elsősorban adatlopásra, adatszivárogtatásra adhat lehetőséget. A sérülékenységek viszonylag egyszerűen kihasználhatók, hiszen a támadóknak csak azt kell elérniük, hogy a felhasználó meglátogasson egy speciálisan összeállított Silverlight tartalmat rejtő weboldalt. Amikor ez megtörténik, akkor a tettek mezejére léphetnek, és visszaélhetnek a hibával.
 
A hibajavítások az automatikus frissítési szolgáltatások segítségével telepíthetők, vagy a Microsoft weboldalairól tölthetők le. A sebezhetőségekkel kapcsolatban további információk az Isidor Biztonsági Központ weblapjain olvashatók.