Video: Ушла эпоха: Microsoft хоронит Internet Explorer (Noviembre 2024)
Microsoft corrigió 37 vulnerabilidades en Internet Explorer y en las versiones compatibles de Windows como parte de su lanzamiento del martes de parches de agosto.
Hubo nueve boletines de seguridad para agosto, de los cuales dos fueron calificados como críticos, según el aviso de Microsoft. La actualización acumulativa para todas las versiones compatibles de Internet Explorer corrigió 26 errores, incluido uno que se divulgó públicamente en Black Hat, y debe considerarse como la máxima prioridad. De los 26, un error de escalada de privilegios ya estaba siendo explotado en la naturaleza, dijo Microsoft. La falla revelada en Black Hat también es una falla de escalada de privilegios y podría permitir que un atacante omita el entorno limitado de la aplicación.
"Esta serie constante de vulnerabilidades críticas de Internet Explorer es otro recordatorio de la importancia de implementar el mínimo privilegio para asegurarse de que si un usuario es explotado con una de estas vulnerabilidades, el atacante no tendrá derechos de administrador", dijo Marc Maiffret. CTO de BeyondTrust.
También es importante recordar que es probable que muchos de estos problemas estén presentes en Internet Explorer en Windows XP, y que hubieran sido reparados si Microsoft todavía hubiera respaldado el antiguo sistema operativo, dijo Ross Barrett, gerente senior de ingeniería de seguridad de Rapid7.
¿La gente todavía usa Windows Media Center?
La segunda actualización crítica del mes solucionó una falla en Windows Media Center, pero afecta solo las ediciones Professional / Ultimate / Enterprise para Windows 7 y 8 / 8.1, y el "Media Center TV Pack" para Windows Vista. Una explotación exitosa requeriría que el usuario abra un archivo de Microsoft Office especialmente diseñado que invoque recursos de Windows Media Center y resulte en la ejecución remota de código. El atacante obtendría los mismos privilegios que el usuario.
"Este no es un verdadero control remoto, sino más bien otro ataque en el que un usuario debe ser obligado a abrir un archivo malicioso", dijo Barrett.
Problemas en SQL Server
El parche de SQL Server solucionó un problema que, si se explotaba, podría provocar una denegación de servicio en todas las versiones de soporte. El error de elevación de privilegios no se califica como crítico porque requiere cierto grado de autenticación para explotar, "pero dado el potencial para que eso suceda en cualquier número de circunstancias, sin duda será un tema importante para los administradores", dijo Barrett..
La falla de secuencias de comandos entre sitios en el parche de SQL Server se puede explotar "para tomar cualquier acción que un usuario pueda realizar en un sitio en nombre del usuario objetivo", dijo Maiffret. El filtro XSS en las versiones 8 a 11 de Internet Explorer puede evitar este ataque, por lo que los usuarios deben habilitar el filtro tanto en Internet como en las zonas de Intranet.
Hora de eliminar los derechos de administrador
Los siete boletines restantes solucionaron problemas en varias otras tecnologías de Microsoft, incluidos los controladores en modo kernel,.NET Framework, OneNote, Windows Installer y SharePoint. La mayoría de ellos son defectos de elevación de privilegios.
La vulnerabilidad de la elevación de privilegios se puede mitigar reduciendo el nivel de privilegio del usuario conectado al nivel de privilegio más bajo posible, dijo Chris Goettl, gerente de producto de Shavlik. "Muchas organizaciones de TI luchan por reducir los privilegios para el usuario al tiempo que les permite trabajar de manera efectiva", pero las actualizaciones de este mes muestran por qué los administradores deberían bloquear los privilegios cuando sea posible, dijo Goettl.
