Változatosra sikerült az augusztusi hibajavító kedd

A Microsoft az augusztusi hibajavító kedden összesen tizenhárom biztonsági közleményben számolt be az operációs rendszereit, illetve a különböző alkalmazásait érintő biztonsági résekről. Ezek közül kettő kapott kritikus veszélyességi besorolást, míg kilencet fontos minősítéssel látott el a Microsoft. A maradék kettő pedig mérsékelt veszélyességű hibákról rántotta le a leplet. Összesen huszonkét darab sebezhetőségtől váltak meg a Microsoft termékei. A legveszélyesebb sérülékenységek kihasználásával a támadók teljes mértékben átvehetik az érintett rendszerek feletti irányítást, ezért a frissítések telepítésére mihamarabb célszerű sort keríteni.

Andrew Storms, az nCircle Security biztonsági igazgatója az augusztusi hibák kapcsán korábban felhívta a figyelmet az Internet Explorer javításának fontosságára. Érdekesség, hogy ezúttal a legújabb rendszerek és alkalmazások kerültek középpontba, hiszen például a Windows XP kevesebb foltot kapott, mint a legújabb Windows 7 és Windows Server 2008 R2 operációs rendszerek. A Windows mellett frissült a .Net Framework, a Visual Studio 2005 valamint a Visio alkalmazás is. Ez utóbbi szoftvert a Microsoft a múlt hónapban is javította, azonban akkor kizárólag a 2003-as verzió foltozására volt szükség egy DLL-kezelési sebezhetőség miatt. Ezúttal azonban az összes jelenleg támogatott kiadás biztonságosabbá vált.

Rések a Windows-on

A Microsoft a Windows-hoz összesen nyolc közleményt adott ki, amelyek között kritikus, fontos és mérsékelt veszélyességi besorolást kiérdemlő tájékozatók egyaránt megtalálhatóak. A legveszélyesebb biztonsági rés a DNS-szerverek kapcsán merült fel, amelyek két kritikus hibát rejtenek. A cég szerint a probléma az NAPTR (Name Authority Pointer) kezelésével van. A támadók ugyanis beregisztrálhatnak egy domaint, ahhoz felvehetnek egy NAPTR DNS rekordot, majd speciálisan szerkesztett lekérdezésekkel támadhatják az érintett szervereket. A hibák kizárólag azon kiszolgálók esetében jelentkezhetnek, amelyeken fut DNS-szerverszolgáltatás. Frissítésre a Windows Server 2003, a Windows Server 2008 és a Windows Server 2008 R2 esetében van szükség.

A fejlesztők olyan fontos veszélyességű sérülékenységeket is orvosoltak, amelyek a DAC (Data Access Components), a Remote Desktop Web Access, a Remote Access Service NDISTAPI Driver, a Remote Desktop Protocol, a CSRSS (Client/Server Run-time Subsystem) és a TCP/IP kezelés kapcsán merültek fel. Ezek mellett a Microsoft egy kevésbé veszélyesnek minősített kernel hibát is javított. A sebezhetőségek miatt az összes jelenleg támogatott Windows verzió frissítésére szükség van.

Frissült az Internet Explorer

Az Internet Explorer fejlesztői összesen hét sebezhetőséget szüntettek meg. Ezekről a kritikus veszélyességi besorolással ellátott MS11-057-es közleményben számoltak be. A sérülékenységek többsége speciálisan szerkesztett weboldalak révén válhat kihasználhatóvá, és a támadók számára lehetőséget biztosítanak az érintett rendszerek feletti irányítás átvételére valamint adatok kiszivárogtatására. A biztonsági rések között vannak URL-kezelésre, XSLT-támogatásra, eseménykezelésre és stílusfeldolgozásra visszavezethető hibák is. A sebezhetőségek miatt az Internet Explorer 6-os, 7-es, 8-as és 9-es verziójának frissítésére is sort kell keríteni.

Javított .Net Framework és fejlesztői eszközök

A Microsoft a .Net Framework esetében több sérülékenységet javított, ezért mind a fejlesztőknek, mind a felhasználóknak résen kell lenniük. Az egyik hiba az olyan weblapok feldolgozását érinti, amelyek XBAP (XAML Browser Applications) alkalmazásokat is tartalmaznak. Egy másik biztonsági rés pedig az ASP.NET Chart vezérlőben található. Ezek mellett a Microsoft Report Viewer is egy fontos hibajavítással gyarapodott.

Ismét szóhoz jutott a Visio

A Microsoft az MS11-060-as sorszámú, fontos besorolással ellátott közleményében a Visio alkalmazásának két sérülékenységét ecseteli. A szoftver mindkét biztonsági rése objektum-, illetve memóriakezelési rendellenességekre vezethető vissza. Ezek akkor okozhatnak problémákat, amikor a felhasználó speciálisan szerkesztett Visio állományt nyit meg. A kockázatok akkor a legjelentősebbek, amikor a felhasználó rendszergazdai jogosultságokkal futtatja az alkalmazást, ugyanis ekkor a támadóknak számtalan művelet jogosulatlan végrehajtására nyílhat lehetőségük. Így például fájlműveleteket végezhetnek, de akár rendszergazdai jogosultságokkal felvértezett fiókokat is létrehozhatnak. A hibákat a Visio 2003-as, 2007-es és 2010-es verziói is tartalmazzák.

A hibajavítások az automatikus frissítési szolgáltatások segítségével telepíthetők, vagy a Microsoft weboldalairól tölthetők le. A sebezhetőségekkel kapcsolatban további információk az Isidor Biztonsági Központ weblapjain olvashatók.