Вчера беше втория вторник от месеца, което означава, че е време за ъпдейт.

Microsoft и Adobe издадоха редовните си обновления, насочени към слабости в софтуерните им продукти. Нека започнем с Microsoft.

За разлика от миналия месец, тук присъстват решения за две 0day уязвимости – т.е. непокрити уязвимости, които се експлоатират активно. Това означава, че налагането на пачовете е задължително и трябва да стане бързо. Що се отнася до самия Patch Tuesday, над 60 са адресираните проблеми, като една трета от тях са обозначени като „критични“. Почти всички те са насочени към браузърите на Microsoft и се отнасят до възможността за отдалечено изпълнение на код. Тук е добре да напомним, че експлоатирането им няма да нанесе такива щети, ако използвате системата си с ограничени права – нещо, които самите Microsoft напомнят в почти всеки бюлетин.

CVE-2018-8414 е една от тези активно експлоатирани уязвимости, за които стана дума по-горе. Това е проблем, свързан с Windows Shell и начина, по който той валидира файловите пътечки. Успешното компрометиране на уязвимостта може да доведе до отдалечено изпълнение на зловреден код и пълното превземане на системата. И понеже, както казват: „Повторението е майка на знанието“, ще цитираме Microsoft, които заявяват в придружаващия бюлетин, че „потребители, чиито акаунти са конфигурирани да имат по-малко привилегии в системата може да са по-малко засегнати от потребители, които работят с административни привилегии“.

Нещастна подробност за конкретната уязвимост е, че Microsoft са алармирани за наличието ѝ от разработчик по сигурността през юни. Microsoft пренебрегват доклада му, неглежирайки сериозността на проблема. Това провокира Мат Нелсън от SpecterOps да даде публично подробности за уязвимостта и само след месец е засечена първото ѝ експлоатиране.

Втората критична уязвимост тук – CVE-2018-8373 – засяга Internet Explorer и начина, по който бива обработвана информация от паметта. Успешното ѝ експлоатиране отново може да доведе до пълно компрометиране на системата. И разбира се, ако не сте администратор, това може да спаси данните ви.

За отбелязване са и CVE-2018-8345 – критичен проблем в начина на обработка на .LNK файловете от системата, както и издаден от Intel пач за Foreshadow, нов проблем в процесорите на компанията, подобен на Spectre и Meltdown, уязвимости в SQL Server, Exchange, Windows, Office и др.

Adobe също публикуваха пакет с обновления за продуктите си. Пет са проблемите в Adobe Flash Player, адресирани през август, но никой изглежда не е критичен. Запушени са дупки в сигурността на Reader и Acrobat, както и в Experience Manager.

12
ДОБАВИ КОМЕНТАР

avatar
4 Коментари
8 Отговори на коментарите
7 Последователи
 
Коментарът с най-много реакции
Най-горещя коментар
9 Автори на коментарите
dedalПоследния самурайбезпристрастенНачинаещ потребителУмерен Ретроград Автори на последните коментари
  Абонирай се  
нови стари оценка
Извести ме за
dedal
dedal

Честито на печелившите. Веднага да пускат ъпдейт за да затворят тези дупки, щото нови 10 проблема няма как да се инсталират ако не ъпдейтвате 🙂

А за права на потребители, няма как да накарате windows потр бит ли да свикнат с linux логика. И обратно, свикнал с linux логика няма да изтърпи това подобие на windows.

лайнокс
лайнокс

затова лайнокс има 1% дял а прозорци 90%

гошо от почивка
гошо от почивка

1% дял само в мечтите им. Повече от 0.5% едва ли имат. За това и не пускат ъпдейти. За пет човека с кошници за по 100 лв. ъпдейти веднъж на петилетка, ако не забравят.

dedal
dedal

Пазарния дял е 32% общо.
Само при десктоп изостава
В това число не слагаме Android
Погледнете пазарния дял на ARM процесорите. Нали не вярвате, че на 50% ARM работи windows

Слави
Слави

Абе някой знае ли защо търговския регистър нещо не работи както трябва?

Последния самурай
Последния самурай

Защото от слагане на цици( става въпрос на секретарките) и Q7 седмици не са останали пари за още 4 диска за райд масив…е баси местността е тука…

Хоумс
Хоумс

Бойко го спря!

лайнокс
лайнокс

лайнокса им нещо се бъгна

Умерен Ретроград
Умерен Ретроград

Кви ъпдейти бе? Продукти на адобе не допускам на компите си, а за уиндоус има два варианта: Седмица (дуал боот, само при необходимост) с всички необходими ъпдейти доунлоаднати и инсталирани на ръка, и аутоъпдейта забранен, окончателно и за винаги. Десятка инсталирана на виртуална машина и без достъп до интернет, само за проби. А ако разработчиците на някоя програма която ползвам, открият дупка в сигурността, която има спешна нужда от ъпдейт, получавам възпитан е-мейл, в който се обяснява какъв е проблемът, кой го е открил, как да проверя дали съм засегнат, как да го избегна и евентуално какъв ъпдейт да приложа… Виж още »

безпристрастен
безпристрастен

Живееш в някакъв филм – няма как при масовите програми (браузъри, офис пакети, плейъри) разработчиците да ти пращат имейл с подробна информация за ъпдейтите.

Начинаещ потребител
Начинаещ потребител

А някой може ли да ми каже как да ползвам Уиндоус без администраторски права?

безпристрастен
безпристрастен

Уиндоус е задължително да го ползваш без администраторски права и така почти всички от уязвимостите няма да те засягат. Линукс е сигурен, защото по подразбиране го ползваш без администраторски права. В в контролния панел на Уиндоус отиди на „Потребители“, създай нов потребител, който да не е „Администратор“, а „Стандартен Потребител“ и ползвай Уиндоус с този неадминистраторски потребител. Всички създадени потребители на Уиндоус трябва да имат парола (да не са без парола) – особено администраторските.