В ближайший вторник Microsoft наконец выпустит патч для уязвимости нулевого дня в Internet Explorer 8, обнаруженной более полугода назад и опубликованной на сайте Zero Day Initiative (ZDI) 21 мая. Данная уязвимость присутствует лишь в IE восьмой версии и в дикой природе, насколько известно, пока не эксплуатируется.

Разработчик своевременно узнал об опасной бреши через ZDI, однако закрывает ее лишь сейчас. «Некоторые заплатки сложнее, другие проще, и каждую приходится проверять на большом количестве программ, приложений и в разных конфигурациях, — пояснил представитель Microsoft. — Вместе с тем хочется еще раз напомнить пользователям о необходимости перехода на более современную операционную систему, такую как Windows 7 или 8.1, а также на новейшую версию Internet Explorer, которая содержит дополнительные средства защиты».

Патч для IE — один из двух критических в июньском наборе. Остальные пять бюллетеней, которые появятся в ближайший вторник, разработчик расценивает как важные. Судя по анонсу, патч для IE будет выпущен как накопительное обновление, актуальное для всех версий браузера начиная с IE 6 в составе Windows Server 2003.

Второй критический бюллетень тоже исправляет ошибку удаленного выполнения кода, но в Microsoft Office и Microsoft Lync, клиентском приложении для общения в реальном времени. Для Lync 2013/2010 и консоли Live Meeting 2007 данная уязвимость названа критической, для Office 2010 и 2007 — важной. «Коль скоро второй бюллетень затрагивает Lync Server и раннюю версию Live Meeting Console, это и впрямь удаленно эксплуатируемая уязвимость», — заметил Росс Баррет (Ross Barrett), руководитель отдела ИБ-разработок Rapid7.

Нелишне напомнить, что поддержка Windows Server 2003 близится к завершению: назначенный разработчиком срок истечет в июле 2015 года. «Пошел последний год, и, поскольку модификация сервера — процесс, как правило, трудоемкий, пора приниматься за дело», — предупреждает Рас Эрнст (Russ Ernst), директор по сбыту продукции Lumension.

Бюллетени, которым Microsoft присвоила статус «Важный», закрывают возможность удаленного выполнения кода в Office, что чревато раскрытием информации бреши в Windows и Lync Server, а также уязвимости DoS и Tampering в Windows. «Пометка Tampering в седьмом бюллетене может означать, что данная брешь позволяет изменить сообщение в процессе передачи, — высказывает предположение Баррет. — И такой сценарий эксплойта маловероятен».

Категории: Главное, Уязвимости