Video: ПОХИЩЕНИЕ ОШИБКИ | Смешные ошибки 20 (спецвыпуск) (Oktober 2024)
Siang ini, Microsoft merilis delapan buletin keamanan yang membahas 23 kerentanan di sejumlah layanan termasuk Windows, Internet Explorer, dan dan Exchange. Dari jumlah tersebut, tiga membawa peringkat tertinggi Kritis, sementara sisanya ditandai sebagai Penting.
Untuk pengguna yang ingin memprioritaskan tambalan mereka, Microsoft merekomendasikan untuk fokus pada MS13-059 dan MS13-060. Yang mengatakan, Anda harus menambal segalanya segera setelah Anda bisa melakukannya.
Serangan Font dan Kerentanan IE
Dari keduanya, Bulletin 059 adalah pembaruan keamanan kumulatif untuk Internet Explorer, yang mencakup 11 kerentanan yang diungkapkan secara pribadi. "Kerentanan paling parah dapat memungkinkan eksekusi kode jarak jauh jika pengguna melihat halaman web yang dibuat khusus menggunakan Internet Explorer, " tulis Microsoft. "Seorang penyerang yang berhasil mengeksploitasi kerentanan paling parah dari kerentanan ini bisa mendapatkan hak pengguna yang sama dengan pengguna saat ini."
Marc Maiffret, CTO di BeyondTrust menjelaskan: "Saja, kerentanan tidak mengizinkan eksekusi kode, tetapi sebaliknya akan dikombinasikan dengan kerentanan lain untuk mendapatkan eksekusi kode dengan hak pengguna."
Pembaruan IE juga penting untuk menyertakan perbaikan untuk kerentanan yang digunakan oleh VUPEN Security pada kompetisi 2013 pwn2own. Lihat? Semua kompetisi itu membuahkan hasil.
Bulletin 060 berkaitan dengan kerentanan dalam Unicode Script Processor, pada dasarnya memungkinkan penyerang menggunakan rendering font sebagai vektor serangan. Kami melihat masalah serupa di pembaruan Patch Tuesday bulan lalu.
Qualys CTO Wolfgang Kandek menjelaskan kepada SecurityWatch bahwa "font-font tersebut digambar pada tingkat kernel, jadi jika Anda dapat memengaruhi gambar font dan meluap." Ini akan, kata Kandek, memberikan kontrol penyerang atas komputer korban.
Meskipun terbatas pada font Bangali di Windows XP, kerentanan ini sangat membingungkan karena berbagai jalan serangan yang disediakan. "Ini vektor serangan yang sangat memikat, " kata Amol Sarwate, Direktur Qualys Vulnerability Labs. Yang harus dilakukan penyerang hanyalah mengarahkan korban ke dokumen, email, atau laman web jahat untuk mengeksploitasi kerentanan.
Kerentanan Pertukaran Kritis
Buletin kritis ketiga berkaitan dengan eksekusi kode jarak jauh di server Microsoft Exchange. Kandek mengatakan kepada SecurityWatch bahwa penyerang dapat mengeksploitasi ketiga kerentanan ini dengan file PDF yang dibuat khusus yang bila dilihat - tidak diunduh - akan menyerang server email korban.
Sebelumnya, kerentanan ini diungkapkan oleh Oracle yang membuat komponen terpengaruh. Untungnya, belum ada eksekusi yang terlihat di alam liar, tetapi masalah serupa telah ditambal berulang kali di masa lalu. Maiffret menulis bahwa dua kerentanan "dalam fitur Melihat Dokumen WebReady, yang telah kita lihat ditambal beberapa kali selama setahun terakhir (MS12-058, MS12-080, dan MS13-012). Oracle terus memberikan Microsoft dan Exchange mata hitam yang konsisten."
Kandek mencatat, "sangat mudah untuk menemukan kerentanan dalam komponen perangkat lunak ini" dan bahwa pengguna harus mempertimbangkan mematikan fitur ini selain menambal perangkat lunak. Melakukan hal itu akan memaksa pengguna untuk mengunduh lampiran surat untuk melihatnya, yang mungkin merupakan harga kecil untuk membayar keamanan
Ada beberapa barang lain dalam daftar tambalan bulan ini termasuk kerentanan IPv6, dan beberapa peningkatan hak istimewa, penolakan layanan, dan kerentanan pengungkapan informasi. Sementara semua orang melakukan perbaikan, kami akan bersiap-siap untuk putaran bug-quashing bulan depan.
