Poprawka Wtorek: Bezpieczeństwo ostrości jako Microsoft, Błędy łatki Oracle

To jest matka wszystkich łatek dla firmowych sklepów IT, w których zarówno Microsoft, jak i Oracle publikują krytyczne aktualizacje oprogramowania we wtorek.

Firma Microsoft wyrzuciła rzeczy we wtorek rano z 11 aktualizacjami zabezpieczeń, w tym poprawkami krytycznych błędów bezpieczeństwa w Windows Active Directory, Internet Explorer, Excel oraz serwer Microsoft Host Integration Server, który integruje komputery Windows z komputerami mainframe IBM.

Eksperci ds. bezpieczeństwa twierdzą, że to przeglądarka Internet Explorer, która naprawia sześć błędów w przeglądarce. Dzieje się tak dlatego, że ma on krytyczne znaczenie dla użytkowników Internet Explorera 6 z systemem Windows XP - bardzo powszechna konfiguracja w przedsiębiorstwie.

[Czytaj dalej: Jak usunąć złośliwe oprogramowanie z komputera z systemem Windows]

Ale klienci, którzy używają Windows Active Katalog na starszych komputerach z systemem Windows 2000 powinien przenieść aktualizację Active Directory MS08-060 na górę kolejki łat, powiedział Don Leatham, dyrektor rozwiązań i strategii w Lumension Security. Ponieważ serwer Active Directory może być używany do ustawiania uprawnień na innych komputerach i zarządzania użytkownikami w sieci, przejęcie tego komputera "byłoby Świętym Graalem dla kogoś, kto próbowałby dostać się do firmy i całkowicie ją zepsuć", powiedział.

Zwykle serwery Active Directory są blokowane w zaporze sieciowej, co oznacza, że ​​atakujący prawdopodobnie musiałby znajdować się w sieci wewnętrznej, aby przeprowadzić atak, powiedział Eric Schultze, dyrektor ds. Technologii w firmie Shavlik Technologies. Ale błąd "oznacza, że ​​każdy wewnętrzny, niezadowolony użytkownik może przejąć całkowitą kontrolę nad domenami Windows 2000 i kontrolerami domeny", powiedział przez komunikator internetowy.

Mitygowanie tego problemu jest jednak faktem, że Microsoft nie miał żadnych raportów, że to Luka została wykorzystana w ataku. Chociaż prawdopodobne jest, że osoba atakująca może zawiesić komputer z systemem Windows 2000 przez wykorzystanie tego błędu, "stworzenie działającego kodu wykorzystującego lukę w zabezpieczeniach zdalnego uruchamiania kodu jest trudne" - powiedział Microsoft w notatce na swojej stronie internetowej.

Łącznie 20 błędów bezpieczeństwa zostały naprawione w 11 aktualizacjach Microsoftu. Było też sześć mniej krytycznych aktualizacji, ocenionych przez Microsoft jako "ważne" dla różnych składników systemu Windows, oraz "umiarkowana" łata, która naprawia błąd, który mógł pozwolić osobie atakującej na podsłuchiwanie informacji od użytkownika Office.

Aktualizacje zabezpieczeń Oracle, spodziewany o godzinie 13.00 Czas pacyficzny obejmuje poprawki 36 błędów w szeregu produktów Oracle, w tym flagową bazę danych firmy, jej serwer aplikacji, pakiet E-Business Suite i serwer WebLogic oraz narzędzia programistyczne. Poprawki błędów są również planowane dla produktów JD Edwards i PeopleSoft firmy.

To niecodzienne, że zarówno Microsoft, jak i Oracle wypychają łaty tego samego dnia. Aktualizacje zabezpieczeń firmy Microsoft pojawiają się w drugi wtorek każdego miesiąca, znany jako Patch Tuesday w branży. Ale łatki Oracle są sprawą kwartalną, wydaną w najbliższy wtorek w połowie miesiąca. Zazwyczaj powoduje to wstawienie poprawek Oracle w trzeci wtorek miesiąca, ale w tym miesiącu konwergowały daty premiery Microsoft i Oracle.

Wtorkowe aktualizacje Microsoftu przyniosły trochę więcej informacji dla klientów firmy. Obejmowały one nową sekcję o nazwie "Indeks możliwości wykorzystania", która ma ułatwić użytkownikom systemu Windows wykrycie, które błędy najprawdopodobniej będą wykorzystywane przez hakerów.

Firma Microsoft oceniła teraz wszystkie aktualizacje zabezpieczeń za pomocą poniższych opisów: "Prawdopodobny kod prawdopodobieństwa", "Prawdopodobny kod niesprawiedliwego działania" lub "Działający kod exploita jest mało prawdopodobny".

Firma twierdziła, że ​​kod exploita prawdopodobnie dotyczy błędów w krytycznym programie Internet Explorer, Microsoft Host Integration Server i aktualizacjach programu Excel. Jeden z błędów przeglądarki Internet Explorer, który mógł pozwolić osobie atakującej uzyskać podwyższone przywileje na komputerze z systemem Windows, został już publicznie ujawniony, ale uważa się, że nie był używany w prawdziwych atakach, powiedział Microsoft.

Kolejny pierwszy: Microsoft dał niektórym partnerom bezpieczeństwa wczesny dostęp do swoich aktualizacji w tym miesiącu, aby mogli włączyć wykrywanie ataków w swoich oprogramowaniach po wydaniu łat we wtorek.