Záporoztak a Microsoft hibajavításai

A Microsoft rekordmennyiségű hibajavítást adott ki, amelyekkel kritikus veszélyességű sebezhetőségeket is orvosolt. A frissítésekből a Windows, az Internet Explorer, az Office és a SharePoint sem maradt ki.

A Microsoft már a múlt héten jelezte, hogy nagyszabású hibajavításra készül. Közölte, hogy 16 biztonsági közlemény keretében fog beszámolni a sebezhetőségekről. Ezek közül négy kritikus, tíz fontos, míg kettő mérsékelt veszélyességi besorolást kapott. Ezúttal is igaz, hogy a legveszélyesebb sérülékenységek kihasználásával a támadók teljes mértékben átvehetik az érintett rendszerek feletti irányítást, azokon kódokat futtathatnak, illetve egyéb tevékenységeket hajthatnak végre.

Az októberi frissítések révén összesen 49 biztonsági réstől lehet megszabadítani a Windows operációs rendszereket, illetve a Microsoft különböző alkalmazásait. A javításokból az asztali valamint a szerver operációs rendszerek sem maradtak ki, és a Windows 7, illetve a Windows Server 2008 R2 patch-elésére is célszerű odafigyelni. Mindezek mellett a Word és az Excel alkalmazásokhoz is jelentek meg frissítések, csakúgy, mint a SharePointhoz és a .Net keretrendszerhez.

Górcső alatt a Windows

A Windows-hoz elérhetővé váló frissítések közül kettő kapott kritikus veszélyességi besorolást. Az egyik legtöbb kockázatot rejtő hibát az Embedded OpenType (EOT) Font Engine, míg a másikat a Windows Media Player Network Sharing Service tartalmazza. Az előbbi olyan állományok, dokumentumok révén válhat kihasználhatóvá, amelyek speciális, beágyazott betűtípusokat is tartalmaznak, míg az utóbbi az RTSP (Real Time Streaming Protocol) csomagok feldolgozásakor járulhat hozzá biztonsági incidensekhez.

A fontos besorolású Windows hibák között olyanokat fedezhetünk fel, amelyek a Windows Media Player, a Common Control Library (Comctl32.dll), az RPCSS (Remote Procedure Call Subsystem) valamint a WordPad kapcsán merültek fel. Mindezek mellett az MFC (Microsoft Foundation Class) és a failover clusterek kezelésében kell megszüntetni kevésbé kockázatos sebezhetőségeket.

Kereszttűzben az Internet Explorer

Az Internet Explorer összesen tíz hibajavítással gyarapodott, amelyekről a Microsoft az MS10-071-es, kritikus veszélyességi besorolással ellátott közleményében adott tájékoztatást. A böngésző 6-os, 7-es és 8-as verzióinak kapcsán többek között olyan sérülékenységek megszüntetésére került sor, amelyek a HTML és CSS feldolgozást, a memóriakezelést valamint az automatikus kiegészítést támogató funkciót érintik. A biztonsági rések speciálisan szerkesztett weboldalak megtekintésekor válhatnak kihasználhatóvá, és jogosulatlan távoli kódfuttatást is lehetővé tehetnek.

Office foltozgatás

A Microsoft az MS10-079-es és az MS10-080-as biztonsági közleményeiben a Word valamint az Excel alkalmazásaiban legutóbb felfedezett sérülékenységekről számolt be. Mindkét esetben fontos veszélyességi besorolással ellátott sérülékenységek megszüntetésére került sor, amelyek speciálisan szerkesztett dokumentumok révén válhatnak kihasználhatóvá. Ezek mellett a táblázatkezelő egyik sebezhetősége bizonyos Lotus állományok megnyitásakor is problémákhoz vezethet. A Microsoft által kiadott frissítések összességében a Wordben 11, míg az Excelben 13 biztonsági rés befoltozását teszik lehetővé. Fontos megemlíteni, hogy a szövegszerkesztő kapcsán az összes, jelenleg támogatott verzió javítására szükség van, míg az Excel esetében egyedül a 2010-es kiadás nem sebezhető.

Frissítés a .Net keretrendszerhez

A .Net Framework kapcsán a fejlesztők egy kritikus veszélyességű sérülékenységet szüntettek meg. A hiba kliens- és szerveroldalon is kockázatot jelent. Amennyiben a felhasználó az arra alkalmas böngészőben olyan weboldalt nyit meg, amelyhez közvetve tartozik speciálisan összeállított XBAP (XAML Browser Applications) alkalmazás, akkor a támadó tetszőleges kódokat is lefuttathat az érintett rendszereken. IIS webszervereken pedig a sebezhetőség akkor okozhat gondokat, ha engedélyezett az  ASP.NET oldalak kiszolgálása, és a támadónak sikerül kártékony ASPX állományt feltöltenie a kiszolgálóra. A Microsoft szerint a biztonsági rés kizárólag a 64 bites rendszerek esetében jelent kockázatot, és "csak" a .Net Framework 4.0-ás verzióját érinti.

SharePoint javítás

A SharePoint szolgáltatások üzemeltetői számára a Microsoft egy tájékoztatót adott ki, amelyben két, fontos veszélyességi besorolással ellátott sérülékenységről adott tájékoztatást. A hibák mindegyike cross-site scripting alapú támadásokat tehet lehetővé, és egyes HTML (szűrési) műveletek valamint a SafeHTML használatakor jelenthetnek kockázatok. A cég szerint az érintett termékek között a Windows SharePoint Services 3.0, a SharePoint Foundation 2010, a SharePoint Server és Groove Server valamint az Office SharePoint Server 2007 is megtalálható.
 
A Microsoft hibajavításai az automatikus frissítési szolgáltatások segítségével telepíthetők, vagy a cég weboldalairól tölthetők le. További technikai információk az Isidor Biztonsági Központ weboldalain olvashatók.