Adobe и Microsoft издадоха редовните си месечни обновления

Microsoft и Adobe издадоха редовните си обновления, насочени към слабости в софтуерните им продукти. Нека започнем с Microsoft.

За разлика от миналия месец, тук присъстват решения за две 0day уязвимости – т.е. непокрити уязвимости, които се експлоатират активно. Това означава, че налагането на пачовете е задължително и трябва да стане бързо. Що се отнася до самия Patch Tuesday, над 60 са адресираните проблеми, като една трета от тях са обозначени като „критични“. Почти всички те са насочени към браузърите на Microsoft и се отнасят до възможността за отдалечено изпълнение на код. Тук е добре да напомним, че експлоатирането им няма да нанесе такива щети, ако използвате системата си с ограничени права – нещо, които самите Microsoft напомнят в почти всеки бюлетин.

CVE-2018-8414 е една от тези активно експлоатирани уязвимости, за които стана дума по-горе. Това е проблем, свързан с Windows Shell и начина, по който той валидира файловите пътечки. Успешното компрометиране на уязвимостта може да доведе до отдалечено изпълнение на зловреден код и пълното превземане на системата. И понеже, както казват: „Повторението е майка на знанието“, ще цитираме Microsoft, които заявяват в придружаващия бюлетин, че „потребители, чиито акаунти са конфигурирани да имат по-малко привилегии в системата може да са по-малко засегнати от потребители, които работят с административни привилегии“.

Нещастна подробност за конкретната уязвимост е, че Microsoft са алармирани за наличието ? от разработчик по сигурността през юни. Microsoft пренебрегват доклада му, неглежирайки сериозността на проблема. Това провокира Мат Нелсън от SpecterOps да даде публично подробности за уязвимостта и само след месец е засечена първото ? експлоатиране.

Втората критична уязвимост тук – CVE-2018-8373 – засяга Internet Explorer и начина, по който бива обработвана информация от паметта. Успешното ? експлоатиране отново може да доведе до пълно компрометиране на системата. И разбира се, ако не сте администратор, това може да спаси данните ви.

За отбелязване са и CVE-2018-8345 – критичен проблем в начина на обработка на .LNK файловете от системата, както и издаден от Intel пач за Foreshadow, нов проблем в процесорите на компанията, подобен на Spectre и Meltdown, уязвимости в SQL Server, Exchange, Windows, Office и др.

Adobe също публикуваха пакет с обновления за продуктите си. Пет са проблемите в Adobe Flash Player, адресирани през август, но никой изглежда не е критичен. Запушени са дупки в сигурността на Reader и Acrobat, както и в Experience Manager.