Kritikus javításokat kapott a Windows

A Microsoft kiadta az októberi biztonsági hibajavításait. Ezek között több olyan is akad, amelyeket nagyon gyorsan célszerű telepíteni. Különösen a Windows foltozására kell most figyelni.
 

A Microsoft összesen hat biztonsági közleményt adott ki az októberi hibajavító kedden. Ezek közül három kritikus, míg a többi fontos veszélyességi kategóriába került. A legtöbb kockázatot rejtő sérülékenységekről ezúttal is elmondható, hogy a kihasználásukkal a támadók akár teljes mértékben átvehetik a számítógépek feletti irányítást. 

Az előző hónapokban elsősorban az Internet Explorer foltozására kellett koncentrálni, ugyanis a webböngésző nagyon sok hibajavítással gazdagodott, köztük kritikus fontosságúakkal is. Ugyan a böngésző ezúttal sem maradt ki a javításokból, de mégis inkább a Windows néhány újonnan feltárt sérülékenységének megszüntetésére kell a legnagyobb figyelmet szentelni. Ennek az az oka, hogy a FireEye jelentése szerint a kiberbűnözők a Windows most befoltozott biztonsági réseit már aktívan elkezdték kihasználni, így a frissítések telepítésére minél előbb célszerű sort keríteni. 

Windows foltozás

A Microsoft a Windows különféle kiadásaihoz összesen négy közleményt adott ki, amelyek közül a legkritikusabb sérülékenységekről az MS14-058-as számú tájékoztatójában számolt be, illetve adott lehetőséget a javításra. Ebben a közleményben két sebezhetőségről van szó, amelyek kernel módú drivereket érintenek. Az egyik a Win32k.sys driver, míg a másik a TrueType betűtípusok kezelése kapcsán merült fel. Amennyiben ezeket a hibákat sikerül kihasználniuk a támadóknak, akkor a rendszereken tetszőleges kódokat futtathatnak, műveleteket hajthatnak végre, illetve rendszergazdai jogosultságokkal felvértezett fiókokat hozhatnak létre. A két sebezhetőség miatt az összes jelenleg támogatással rendelkező Windows kiadást frissíteni kell, beleértve a kliens és a szerver operációs rendszereket is.

A két kritikus sérülékenység mellett a Windows további három biztonsági réséről is lehullt a lepel. Az egyik az OLE objektumok esetenkénti nem megfelelő kezelésére vezethető vissza. Ez speciálisan összeállított Office dokumentumok révén válhat kihasználhatóvá, és jogosulatlan távoli kódfuttatásra adhat módot. Egy másik hiba a Message Queuing szolgáltatás esetében okozhat problémákat azáltal, hogy a támadók számára jogosultsági szint emelést tesz lehetővé. A harmadik sebezhetőség pedig a Windows FASTFAT rendszermeghajtójában található, és a FAT32 alapú lemezpartíciók esetenkénti hibás kezeléséből fakad. A rendellenesség miatt emelt jogosultsági szint mellett válhat lehetővé kódfuttatás.

Most sem úszta meg az Internet Explorer

Októberben is számos hibajavítással gyarapodott az Internet Explorer. A fejlesztők összesen tizennégy sebezhetőségnek intettek búcsút a kiadott frissítésekkel. Az orvosolt sérülékenységek elsősorban memóriakezelési rendellenességekre vezethetők vissza, és speciálisan szerkesztett weboldalak megtekintésekor segíthetnek elő károkozásokat. A Microsoft szerint a hibák jogosulatlan kódfuttatásra, jogosultsági szint emelésre, valamint az ASLR védelem megkerülésére adhatnak módot. A hibajavítások telepítésére az összes jelenleg támogatott Internet Explorer verzió esetében szükség van.

Egy Office javítás

Az Office októberben egy fontos besorolású sebezhetőségtől vált meg. Ez a hiba a Word alkalmazást érinti, és ennek megfelelően speciálisan szerkesztett dokumentumok révén válhat kihasználhatóvá. Amennyiben a támadók által összeállított fájlt a felhasználó egy sérülékeny szoftverrel nyitja meg, akkor az elkövetőknek a célkeresztbe állított felhasználói fiók jogosultsági szintjén engedélyezett műveletek végrehajtására adódhat lehetőségük, és ilyen módon akár kártékony kódokat is futtathatnak. A sérülékenység az Office 2007/2010, az Office for Mac 2011, a SharePoint Server 2010, valamint az Office Web Apps 2010 esetében vár javításra. 

Kritikus javítások a .Net keretrendszerben

A Microsoft a .Net keretrendszer kapcsán két közleményt adott ki, amelyek közül az egyik kritikus, míg a másik fontos veszélyességi kategóriába került. Az előbbi a .Net Framework három sebezhetőségét taglalja. E hibák érintik egyebek mellett az iriParsing funkcionalitást, valamint a ClickOnce-t is, amelynek esetében egy jogosultsági szint emelésre lehetőséget adó hibáról van szó. Ezek mellett a harmadik sebezhetőség az ASLR védelmi vonal megkerülésére adhat módot. 

A fontos besorolású tájékoztató pedig az ASP.NET MVC egy újonnan feltárt rendellenességére hívja fel a figyelmet. Ez speciálisan szerkesztett weboldalakkal, pontosabban speciálisan összeállított linkekkel válhat kihasználhatóvá, miközben biztonsági megkötések megkerülését segítheti elő. Az említett sebezhetőségek miatt a .Net keretrendszer 2.0-ás, az ASP.NET MVC 2.0-ás, illetve az ezeknél újabb kiadásokat kell frissíteni.

A hibajavítások az automatikus frissítési szolgáltatások segítségével telepíthetők, vagy a Microsoft weboldalairól tölthetők le. A sebezhetőségekkel kapcsolatban további információk az Isidor Biztonsági Központ weblapjain olvashatók.