В минувший вторник Microsoft закрыла в Internet Explorer, Edge, Windows и Office уязвимости нулевого дня, которые еще не публиковались, но уже используются в кибератаках. Совокупно разработчик выпустил 10 бюллетеней по безопасности, оценив половину из них как критические.

Октябрьский «вторник патчей» знаменателен для пользователей Windows 7/8 и Windows Server 2008/2012 также тем, что они в первый раз получают заплатки единым накопительным обновлением, причем вместе с усовершенствованиями функционала. На прошлой неделе Microsoft объявила, что системным администраторам будет предоставлен выбор: получать раз в месяц только новые патчи единым блоком через WSUS, патчи новые плюс все прежние через Windows Update или же превью грядущих усовершенствований в комплекте с патчами прежних выпусков через WSUS — в этом случае каждый третий вторник месяца.

Из уязвимостей 0-day, закрываемых новым выпуском, две содержатся в Internet Explorer и Edge. Брешь CVE-2016-3298, патч для которой включен в накопительное обновление IE (MS16-118), представляет собой баг раскрытия информации, позволяющий атакующему «проверять присутствие файлов на диске». Эксплойт возможен, если пользователь зайдет на вредоносный сайт, используя IE 9, 10 или 11. Патчи для этого браузера также устраняют 10 уязвимостей, грозящих удаленным исполнением кода, — в основном это баги порчи памяти или повышения привилегий.

Брешь нулевого дня CVE-2016-7189 крылась в движке сценариев Edge. «Уязвимость удаленного исполнения кода проявляется, когда Microsoft Edge неправильно обрабатывает объекты в памяти, — гласит бюллетень MS16-119. — В случае успешной эксплуатации атакующий может завладеть информацией для дальнейшей компрометации системы пользователя». В Edge также закрыты еще 12 уязвимостей, в большинстве своем баги порчи памяти.

Третья 0-day была обнаружена в графическом компоненте Windows (CVE-2016-3393). Эксплойт в данном случае возможен через Сеть или вредоносное вложение, присланное по почте или с помощью программы файлообмена. Бюллетень MS16-120 совокупно закрывает восемь уязвимостей в Graphics Component, GDI+ и парсере шрифтов True Type, который используют Windows, Office, Skype for Business, Silverlight и Microsoft Lync.

CVE-2016-7193 в Office (MS16-121) связана с обработкой файлов RTF. Ее эксплуатация грозит удаленным исполнением кода, если пользователь откроет зараженный файл в приложении Office.

Пятая уязвимость нулевого дня присутствовала в API обмена сообщениями Microsoft Internet. В бюллетене MS16-126 она описана как баг раскрытия информации, актуальный для Vista, Windows 7 и Windows Server 2008/2008 R2. Ненадежный протокол использовался email-клиентами (Outlook, Exchange Server) для доступа к публичным и приватным файлам и папкам; ситуация уже исправлена.

Критический бюллетень MS16-122 посвящен RCE-уязвимости CVE-2016-0142 в компоненте управления видео (Windows Video Control). Данная брешь затрагивает Windows Vista, 7, 8.1 и 10; эксплойт возможен, если пользователь откроет вредоносный файл (программу), загруженный с веб-страницы или полученный по электронной почте. Вектором атаки в данном случае служит область предварительного просмотра.

Патчи в рамках бюллетеня MS16-127 предназначены для библиотек Adobe Flash, интегрированных в IE и Edge. Эти же 12 уязвимостей одновременно закрыла сама Adobe.

Следующие уязвимости Microsoft оценила как опасные или умеренно опасные:

  • MS16-123 — пять багов повышения привилегий в драйверах режима ядра Windows;
  • MS16-124 — четыре бага повышения привилегий в реестре Windows;
  • MS16-125 — баг повышения привилегий в службе сборщика центра диагностики Windows.

Update. Позднее Microsoft признала, что информация об itw-эксплойте 0-day в Edge (CVE-2016-7189) была ошибочной. «Свидетельств каких-либо активных атак с использованием этой уязвимости нет, текст бюллетеня [MS16-119] был скорректирован», – заявил представитель компании журналистам Threatpost.

Итого в сухом остатке остались три уязвимости из нового списка под атакой (патч для CVE-2016-3298 включен в два разных обновления – для IE и для Microsoft Internet Messaging API).

Категории: Главное, Уязвимости