Microsoft opravil rekordný počet bezpečnostných chýb

Spoločnosť Microsoft dnes vydala rekordný počet bezpečnostných aktualizácií, trinásť, a opravila nimi rekordný počet bezpečnostných chýb v rámci pravidelných mesačných bezpečnostných záplat, 34. Až osem bezpečnostných aktualizácií je stupňa závažnosti kritická, u spolu siedmich aktualizácií Microsoft predpokladá možnosť vytvorenia spoľahlivého exploitu umožňujúceho vzdialené spustenie útočníkom zvoleného kódu.

DSL.sk, 13.10.2009

Spoločnosť Microsoft dnes vydala rekordný počet bezpečnostných aktualizácií, trinásť, a opravila nimi rekordný počet bezpečnostných chýb v rámci pravidelných mesačných bezpečnostných záplat, 34.

Spoločnosť tak dnes prekonala doterajší rekord počtu opravených bezpečnostných chýb v rámci pravidelných mesačných bezpečnostných aktualizácií z decembra minulého roka, kedy opravila 28 bezpečnostných chýb.

Osem z dnes vydaných bezpečnostných aktualizácií opravuje minimálne jednu chybu stupňa závažnosti kritická, u šiestich z nich spoločnosť predpokladá možnosť vytvorenia spoľahlivého exploitu umožňujúceho vzdialené spustenie útočníkom zvoleného kódu.

Mimoriadne závažnou aktualizáciou je MS09-050 opravujúca kritické chyby v implementácii SMB protokolu.

Chyby rovnakej povahy ako využíval červ Conficker sa nachádzajú v implementácii novej verzie protokolu SMB 2.0 používaného pre sieťové zdieľanie adresárov, sú spôsobené nedostatočným ošetrením niektorých položiek v niektorých typoch prichádzajúcich paketov a umožňujú útočníkovi na Windows Vista, Windows Server 2008 a Windows 7 RC vzdialené získanie kontroly nad PC.

O chybe s potenciálom na vytvorenie červa sme detailne informovali v tomto článku. Užívatelia, ktorí si ako ochranu proti zneužitiu tejto chyby vypli podporu SMB 2.0, si ju môžu po aplikovaní aktualizácie jednoducho opäť zapnúť pomocou Fix it nástroja dostupného na stránke spoločnosti.

Mimoriadne dôležitou je aktualizácia MS09-062 opravujúca viacero chýb v knižnici GDI+ umožňujúcich spustenie útočníkom zvoleného kódu pri otvorení respektíve dekódovaní podvrhnutých obrázkov vo formátoch PNG, TIFF a WMF.

Chyby je možné zneužiť najmä pri browsovaní cez Internet Explorer, využívaní Microsoft Office a Microsoft Outlook a ďalších programov Microsoftu, ktoré využívajú GDI+ aj k dekódovaniu obrázkov. Prehliadače ostatných tvorcov využívajú zvyčajne k dekódovaniu obrázkov iné knižnice.

Dalšou dôležitou aktualizáciou je MS09-051 opravujúca chyby v niektorých voliteľných kódekoch a komponentoch používaných Windows Media Playerom na Windows 2000, XP, Vista, Server 2003 a 2008.

Zraniteľné kódeky síce nie sú štandardne nainštalované vo Windows, podľa štandardných nastavení sa ale pri prehrávaní pomocou WMP alebo komponentov Windows Media Runtime stiahnu automaticky. Útočník tak môže zneužiť tieto chyby bez ďalšej súčinnosti užívateľa pri prehrávaní audio/video súboru podvrhnutého útočníkom pomocou WMP alebo iného prehrávača využívajúceho kódeky inštalované vo Windows a to napríklad aj prehrávaním multimediálneho súboru po návšteve užívateľa na podvrhnutej webovej stránke.

Aktualizácia MS09-054 opravuje tri kritické chyby v Internet Exploreri umožňujúce spustenie útočníkom zvoleného kódu iba po návšteve útočníkom podvrhnutej webovej stránky cez Internet Explorer 6.0 až 8.0 a ďalšiu chybu rovnakého typu nachádzajúcu sa v IE 6.0 a 7.0.

Zoznam aktualizácií, ich závažnosť a pravdepodobnosť objavenia sa exploitu (tabuľka: Microsoft)

Ďalšie kritické aktualizácie opravujú chyby vo Windows Media Playeri 6.4, ActiveX komponentoch, .NET Framework a Silverlighte 2 a Microsoft Office ActiveX prvkoch. Aktualizácie stupňa dôležitá opravujú chyby v FTP službe IIS servera, vo Windows CryptoAPI, v službe indexovania, v službe autentifikácie a v jadre Windows.

Viacero chýb v jadre Windows opravených aktualizáciou MS09-058 umožňuje na Windows 2000, XP, Vista, Server 2003 a 2008 užívateľovi bez administrátorských práv spustenie kódu na úrovni jadra.

O štyroch kritických chybách vrátane chýb opravených aktualizáciami MS09-50, MS09-51 a MS09-54 boli verejne známe informácie pred vydaním aktualizácií, chyby vo WMP kódekoch opravené aktualizáciou MS09-51 sa v súčasnosti podľa spoločnosti už zneužívajú na Internete.

Tento mesiac boli prvýkrát vydané bezpečnostné aktualizácie pre finálnu verziu operačného systému Windows 7, ktorý bude oficiálne uvedený na trh budúci štvrtok 22. októbra. Windows 7 sa týkalo celkom päť aktualizácií, z toho aj dve kritické MS09-54 a MS09-61.

Zoznam všetkých vydaných bezpečnostných aktualizácií a odkazy na stiahnutie jednotlivých aktualizácií je možné nájsť v oznámení Microsoftu.





Najnovšie články:



Diskusia:

microsoft... Od: vojti88 | Pridané: 14.10.2009 0:15 nič nove zo strany microsoftu... Odpovedať Známka: 5.0 Hodnotiť:

Re: microsoft... Od: gamer | Pridané: 14.10.2009 1:18 njn, len skoda ze v ankete nerozdelili tu tretiu moznost "Na automatické upozornenie" a osobitne "stiahnutie aktualizácií, inštaláciu po potvrdení" nech vieme, kolki BFU´s si nechavaju stiahnut zrusenie "rearm patchu" na hliste a pripadne se7en ;) Odpovedať Známka: 1.1 Hodnotiť:

Re: microsoft... Od: rms_ | Pridané: 15.10.2009 17:38 Presne tak a vsetci co si myslia, ze je to chyba najma neskusenych uzivatelov by sa mali zamysliet. Je to ako tvrdit ze za to, ze ti grazli zdemoluju auto (Pocitac/Subory), moze majtel, pretoze ho vobec zaparkoval (spustil Program/Sluzbu) na mieste ktore nema dobru povest, alebo na mieste ktore sa vobec nestrazi, aj napriek tomu ze je na platenom parkovisku (OS WINDOWS). Sice na *platenom* parkovisku, (OS WINDOWS) ale ochrana a stazenie auta (Pocitaca/Suborov) je na nulovej urovni. A problem to skutocne je, pretoze dier v plote ma to parkovisko tak vela, ze bezpecnych miest(Programov/Sluzieb) na parkovanie je pomaly menej ako tych bezpecnych. Odpovedať Známka: 6.0 Hodnotiť:

Optimisticky nadpis Od reg.: cca01 | Pridané: 14.10.2009 9:05 Pesimista by napisal: Rekorný počet bezpečnostných chýb Microsoftu Odpovedať Známka: 7.3 Hodnotiť:

Re: Optimisticky nadpis Od: rms_ | Pridané: 14.10.2009 9:51 ale kde, pesimista by vedel ze rekord este len pride :P Odpovedať Známka: 9.1 Hodnotiť:

Re: Optimisticky nadpis Od: sizej | Pridané: 14.10.2009 9:55 praveze by vedel ze do 2012 to nestihaju Odpovedať Známka: 5.0 Hodnotiť:

zajtra Terézia - Pošli kvety ! Od: marha s cibulou beha po mravcoch | Pridané: 14.10.2009 11:28 Ak ma komercny system po X rokoch vyvoja stale kriticke bezpecnostne chyby, asi by sa mal niekto zamysliet. Mark Russinovich niekde pisal, ze vsetky tie ochrany v systeme Windows (DEP atd) su zbytocne, pretoze architektura systemu umoznuje zapisat do pamate komukolvek cokolvek kdekolvek. Najvacsi problem su aj tak uzivatelia, ktori su vychovani (a niekedy aj nuteni) pouzivat administratorske konto na kazdodennu pracu. Tam by som zacal ;) Odpovedať Známka: 0.5 Hodnotiť:

Re: zajtra Terézia - Pošli kvety ! Od reg.: cca01 | Pridané: 14.10.2009 11:44 System by sa mal prisposobit userom, nie naopak. Napr. Windows UAC ma za ciel uzivatela buzerovat (ako v MS aj priznali), nie pomahat mu pri praci. To je chory system, aky moze vymysliet len MS. Odpovedať Známka: 1.7 Hodnotiť:

Re: zajtra Terézia - Pošli kvety ! Od: draft | Pridané: 14.10.2009 11:57 Strucne a zrozumitelne. Toto si dam vytetovat na celo :D Odpovedať Známka: 6.9 Hodnotiť:

Re: zajtra Terézia - Pošli kvety ! Od reg.: roob_ | Pridané: 14.10.2009 12:54 uac je kravina. Miesto toho aby konecne dali do 7 1 admina a ostatnych len userov, tak zas je konto po instalacii s admin pravami a mozes vytvorit dalsich x adminov. UAC nema ziadne ale ani najmensie opodstatnenie, lebo 1. si to kazdy vypne 2. ak aj nevypne, tak vzdy stlaci OK, nech to pise hocico. Odpovedať Známka: 5.0 Hodnotiť:

Re: zajtra Terézia - Pošli kvety ! Od reg.: rayen | Pridané: 14.10.2009 13:18 nahodou to je pohode vediet ze ti app nebezia pod rootom - aspon v pripade niakej chyby/exploitu nedosahaju vsetko, a tych co bezia pod rootom je minimum (cpuz, software update, instalacie) ked stiahnes niaky keygen a ten chce roota, tak mozes hadat asi naco.. Odpovedať Známka: 4.3 Hodnotiť:

nazory a postrehy Od: Cudo | Pridané: 15.10.2009 10:41 Chybou všetkých spravovaných systémov na doma je zraniteľnosť ADMINISTRATORa iným zo skupin ADMINISTRATORS. Mal by by iba jeden veľký a niekoľko malých adminov. Takých, aby nepreklenuli kľúčové rozhodnutia veľkého ADMINa. Napríklad, aby mu za žiadnych okolností nezmenili heslo, neprevzali vlastníctvo a pod.... Odpovedať Hodnotiť:

Re: zajtra Terézia - Pošli kvety ! Od: ___ | Pridané: 15.10.2009 9:39 Ty si šušliak komercny.. Odpovedať Hodnotiť:

Re: zajtra Terézia - Pošli kvety ! Od: QQWWww | Pridané: 17.10.2009 11:42 vies, vsetky systemy su aktualizovane, to znamena, ze chyby sa objavuju, plataju... ak by si chcel mat 100% zaplatany OS, tak by si jedinu verziu musel testovat 100 rokov. Odpovedať Hodnotiť:

microsoft Od: Mettiu | Pridané: 14.10.2009 12:25 Budeme radi ze tie updaty vobec vydali. Odpovedať Známka: 10.0 Hodnotiť:

Re: microsoft Od: grsfa | Pridané: 14.10.2009 19:07 presne opravena chyba uz nie je chyba problem su neopravene chyby(a doba kym sa chyba opravi) Odpovedať Známka: 10.0 Hodnotiť:

Re: microsoft Od: Mettiu | Pridané: 15.10.2009 12:07 Presne tak... radsej neskor ako nikdy Odpovedať Známka: 6.7 Hodnotiť:

updates Od: foobar~ | Pridané: 14.10.2009 13:05 Keby som používal Windows, nad ničím iným ako plnými aktualizáciami nerozmýšľam. Potom sa BFUs čudujú, že majú v počítači ZOO. Veď aj ten Conficker sa šíril chybou opravenou trištvrte roka, nie je tak? Odpovedať Známka: 6.9 Hodnotiť:

Re: updates Od reg.: rayen | Pridané: 14.10.2009 13:20 presne tiez ma prekvapila anketa, neviem preco ludia vahaju s aktualizaciami - vacsina trapakov nema doma produkcne servery, zeby potrebovali tie aktualizacie najskvor testovat Odpovedať Známka: 3.3 Hodnotiť:

Re: updates Od: CHaha | Pridané: 16.10.2009 15:01 Tých 44 percent je celkom určite čiernych a tí ďalší majú viacnásobné OEM, hcracknuté WGA alebo korporátnu licenciu. Suma sumárum mi vyšlo cca 60-65% ľudí tu používa úplne nelegálny Windows... Odpovedať Hodnotiť:

zaujimave Od: marekv | Pridané: 14.10.2009 13:10 zaujimave, ked vyda MS opravy na bezpecnostne chyby tak do diskusi nechodia onanovat uzivatelia os X a linuxov, ale ked to je opacne tak do diskusie sa nahrnie plno deti a nadavaju a nadavaju Odpovedať Známka: 4.0 Hodnotiť:

Re: zaujimave Od: dfsdfsdfs | Pridané: 14.10.2009 13:23 pretoze WBFU :) Odpovedať Známka: 2.0 Hodnotiť:

Re: zaujimave Od reg.: rayen | Pridané: 14.10.2009 13:23 no mac vydava tie aktualizacie 2-3 krat do roka to uz treba oslavit o linuxe nehovorim tam to je kazde 2-3 dni, to uz si nikto ani nevsimne Odpovedať Známka: 1.4 Hodnotiť:

Re: zaujimave Od: loooooool | Pridané: 14.10.2009 13:52 updaty na linuxe vychadzaju kazde 2-3 dni ale to su neni zaplaty na bezpecnostne chyby a to je dost podstatny rozdiel :)preto sa o tom tak nepíše lebo neni v podstate o čom ako pri M$ :D veľa krat su to updaty na zlepšenie funkčnosti systemu co pri M$ nehrozí Tý vydaju radcej novy OS prinajhoršom SP :DDD Odpovedať Známka: 5.0 Hodnotiť:

Re: zaujimave Od: Cudo | Pridané: 15.10.2009 10:42 Načo tu píšeš o Lunexe? MS vydáva záplaty osve pre niekoľko kľúčových typov procesorov a pre všetky svoje OS a softvér ktorý má v obehu. A to je sakra veľa! Odpovedať Známka: -5.0 Hodnotiť:

Re: zaujimave Od: dgsa | Pridané: 15.10.2009 18:59 vidim ze moc nezvladas hierarchiu prispevkov Odpovedať Hodnotiť:

Re: zaujimave Od: Cuda | Pridané: 17.10.2009 11:46 Odpísal na príspevok nad ním... Odpovedať Hodnotiť:

do prdele! Od: fotograf | Pridané: 15.10.2009 8:20 Este by mohli oznamit, preco to po aktualizacii totalne rozdrbe celu plochu (rozmiestnenie ikon aj s nastaveniami), to by ma teda fakt zaujimalo... Odpovedať Hodnotiť:

Re: do prdele! Od: mthv | Pridané: 15.10.2009 15:33 nic take to nerobi to si asi len ty lama a prepol si si rozlisenie Odpovedať Hodnotiť:

bezpecnostnych chyb coho? Od: Matoooo | Pridané: 17.10.2009 13:15 Precital som si nadpis, uvod a prve tri odstavce tohto clanku. Par krat som sa dozvedel informaciu, ze zaplat bol rekordny pocet a tiez to, ze boli na kriticke chyby. Avsak nedozvedel som sa asi najdolezitejsiu informaciu a to, ze na ktory produkt microsoftu sa tieto zaplaty vztahovali. Na jeden z ich siestich stale podporovanych operacnych systemov na PC? Na operacne systemy na embbed zariadenia? Na Windows Mobile verzie? Na nieco ine ako operacny system? mssql? access? office? CO? Alebo nebodaj sucet vsetkych updatov? Ci na nieco uplne ine? netusim... ak sa to aj nachadzalo niekde dalej v clanku, tak to je fakt smutne, ze najprv treba napisat taky pomerne bulvarny nadpis, zopakovat niekolkokrat tie iste veci a nespomenut tu najdolezitejsiu informaciu... Odpovedať Známka: 10.0 Hodnotiť:

rozporuplny autor Od: rozporuplny autor | Pridané: 17.10.2009 13:29 Nikomu nevadi, ze v prvom odseku sa 7 z 8 chyb podla MS dalo zneuzit na vytvorenie funkcneho exploitu, ale v druhom odseku to bolo uz iba 6 z 8? Odpovedať Hodnotiť:

super Od: Tomasgo | Pridané: 20.10.2009 11:36 Dakujem microsoftu, ze sa stara o pouzivatelov :) Odpovedať Známka: 3.3 Hodnotiť:

Updaty.. Od: Erik Csicso | Pridané: 21.10.2009 23:13 tiež súhlasím stým že môžme byť radi že sa svoje peniaze kt. sme dali za operačný systém sa ešte poskytuje pomoc vo forme updatov.J aby som privitla keby dávali častejšie tie service packy , a hlavne win xp by ešte potreboval daľší service pack aspoň 4 či 5 kedže updaty tam budú ešte vychádzať 5 rokov Odpovedať Hodnotiť:

..... Od: adgjl | Pridané: 27.10.2009 20:54 Ako vidim zas je tu nespocetne mnozstvo naslovovzatych odbornikov. Odpovedať Hodnotiť:

Pridať komentár