Microsoft устранила уязвимости в своих продуктах

Microsoft устранила уязвимости в своих продуктах

Microsoft устранила уязвимости в своих продуктах

10.09.2019 компания Microsoft выпустила ежемесячные обновления для своих продуктов, исправляющие 80 уязвимостей, в том числе 17 критических и 62 высокого уровня опасности. К последним относятся две уязвимости «нулевого дня», эксплуатируемые злоумышленниками, и две уязвимости, информация о которых на момент выпуска обновлений была публично разглашена, однако случаи их эксплуатации не выявлены.

Обновления затронули следующие продукты компании: Internet Explorer, Microsoft Edge, Microsoft Windows, Microsoft Office, Microsoft Office Services и Web Apps, ChakraCore, Microsoft Lync, Visual Studio, Microsoft Exchange Server, .NET Framework, Microsoft Yammer, .NET Core, ASP.NET, Team Foundation Server, Project Rome.

Уязвимости «нулевого дня» связаны с повышением привилегий. Одна из них (CVE-2019-1214) затрагивает драйвер Common Log File System (CLFS) и связана с неправильной обработкой объектов в памяти. Другая уязвимость «нулевого дня» (CVE-2019-1215) связана с неправильной обработкой объектов в памяти компонентом ws2ifsl.sys (Winsock). Её эксплуатация может позволить злоумышленнику выполнить код с повышенными привилегиями. Стоит отметить, что указанные уязвимости устранены и в операционной системе Windows 7, для которой с 14 января 2020 года будут прекращены техническая поддержка и выпуск обновлений. Пользователям данной ОС следует применить обновления, а также заблаговременно перейти на другую операционную систему, поддержку которой продолжит оказывать производитель.

Четыре критические уязвимости (CVE-2019-0787, CVE-2019-0788, CVE-2019-1290, CVE-2019-1291) затрагивают клиент удаленного рабочего стола (Windows Remote Desktop Client). Их эксплуатация может позволить злоумышленнику выполнить произвольный код на компьютере подключающегося к вредоносному серверу пользователя. В результате злоумышленник сможет устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными пользовательскими правами.

Шесть критических уязвимостей затрагивают скриптовые движки (Scripting Engine и Chakra Scripting Engine) и связаны с неправильной обработкой движком объектов в памяти в браузерах Microsoft. Эксплуатация уязвимостей может позволить злоумышленнику выполнить произвольный код с привилегиями текущего пользователя. В случае если пользователь имеет права администратора, злоумышленник сможет устанавливать программы, просматривать, изменять или удалять данные, а также создавать новые учетные записи с полными пользовательскими правами.

Остальные критические уязвимости затрагивают Microsoft SharePoint, Microsoft Windows, Windows VBScript Engine, Azure DevOps Server (ADO) и Team Foundation Server (TFS). Их эксплуатация может позволить злоумышленнику выполнить произвольный код и в ряде случаев получить полный контроль над целевой системой.

Уязвимости высокого уровня опасности позволяют обойти ограничения безопасности, повысить привилегии, раскрыть конфиденциальную информацию, выполнить произвольный код, провести атаки типов «межсайтовое выполнение сценариев» (XSS) и «отказ в обслуживании».

Пользователям рекомендуется обновить установленное программное обеспечение Microsoft до последних версий.