Первый набор обновлений, выпущенный Microsoft в новом году, оказался самым маленьким за всю историю этой программы: он содержит лишь четыре бюллетеня. Три из них помечены как важные; патчи для Adobe Flash Player в Internet Explorer и Edge расцениваются как критические.

Бюллетень MS17-002 посвящен Microsoft Office и латает брешь, позволяющую удаленно исполнить код, если пользователь откроет вредоносный файл в уязвимой программе. Этот баг (CVE-2017-0003) Microsoft сначала оценила как критический, но затем несколько снизила уровень опасности. Уязвимость затрагивает Microsoft Word 2016 (64 бит и 32 бит) и Microsoft SharePoint Enterprise Server 2016. «Для пользователей, настройки аккаунта которых уменьшают права в системе, последствия менее серьезны, чем для тех, кто работает с правами администратора», — сказано в бюллетене.

Важный патч для Edge (MS17-001) закрывает единственную брешь в этом браузере. «Уязвимость повышения привилегий проявляется, когда Microsoft Edge неправильно применяет кросс-доменные политики для about:blank, что позволяет взять информацию из одного домена и внедрить ее в другой домен, — поясняет Microsoft в бюллетене. — В случае успешного эксплойта атакующий сможет повысить привилегии в уязвимых версиях Microsoft Edge».

Устранен также DoS-баг, обнаруженный в службе проверки подлинности локальной системы безопасности (LSASS). Со слов Microsoft, эта уязвимость привнесена некорректностью обработки запросов на авторизацию. «В случае успешной эксплуатации уязвимости атакующий сможет вызвать состояние отказа в обслуживании на LSASS-сервисе целевой системы, что повлечет автоматическую перезагрузку системы», — сказано в бюллетене MS17-004. Данная брешь актуальна для Windows Vista, Windows Server 2008, Windows 7 и Windows Server 2008 R2 (в том числе Server Core).

Наконец, критическое обновление MS17-003 патчит ряд уязвимостей во Flash Player, работающих под Windows 8.1 OS (64 и 32 бит), Windows RT 8.1, какой-либо версией Windows 10 или под Windows Server 2016. Эти же бреши параллельно закрыла Adobe.

Январский набор обновлений — первый, который будет раздаваться на более новые системы единым пакетом. Windows Vista это изменение не коснется, она продолжит получать патчи в рамках отдельных бюллетеней.

Появление новых патчей от Microsoft по времени совпало с выпуском накопительного обновления почти для всех версий Windows 10, в том числе Anniversary Update для ПК (сборка 14393.693). Этот апдейт не привносит новых функций, но совершенствует некоторые механизмы, в том числе аутентификацию по отпечаткам пальцев и создание групп виртуальных приложений в среде App-V. Исправлена также ошибка, позволявшая подключать к машине два одинаковых устройства ввода.

Категории: Главное, Уязвимости

Leave A Comment

Your email address will not be published. Required fields are marked *

You may use these HTML tags and attributes: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>

  *