Ноябрьское обновление Microsoft закрывает 20 критических уязвимостей

В очередной раз наступил вторник исправлений Microsoft, и, как это часто бывает, были выпущены важные исправления для различных уязвимостей. Всего было обнаружено 53 уязвимости, и из этих эксплойтов 20 были оценены как «критические» по шкале Common Vulnerability Scoring System (CVSS). В целом, основная проблема, обнаруженная среди исправленных уязвимостей, заключалась в удаленном выполнении кода — и Microsoft не впервые исправила подобную уязвимость. Однако были и другие проблемы, и некоторые из наиболее важных будут экстраполированы. Вот более пристальный взгляд на то, что находится в ноябрьском обновлении Microsoft.

Несколько заслуживающих внимания эксплойтов (CVE-2017-11848, CVE-2017-11827, CVE-2017-11883 и CVE-2017-8700) были определены различными исследователями безопасности как особо опасные. Хотя не было показано, что рассматриваемые уязвимости используются в дикой природе, по крайней мере в настоящее время, все еще существует большой риск.

CVE-2017-11848 можно использовать из-за «уязвимости раскрытия информации», которая существует в Internet Explorer. Уязвимость может быть использована хакерами для тщательного отслеживания веб-активности своих потенциальных жертв. В результате злоумышленник может «разместить специально созданный веб-сайт», а также заставить «скомпрометированные» веб-сайты «содержать специально созданный контент, который может использовать уязвимость». Это позволит регистрировать конфиденциальные данные различных пользователей.

CVE-2017-11827 — это уязвимость удаленного выполнения кода, которая использует способ доступа браузеров Microsoft к объектам в памяти. Ситуация, созданная этой уязвимостью, позволяет хакерам использовать код для захвата привилегий пользователя. Если пользователь находится в административном режиме, хакер может захватить полный контроль (еще одна причина для пользователей избегать входа в систему в качестве администраторов на регулярной основе).

CVE-2017-11883 — это уязвимость отказа в обслуживании, которая может быть запущена удаленно без какой-либо аутентификации. Атака DoS будет специально нацелена на веб-запросы, которые неправильно обрабатываются ASP.NET Core. Все, что нужно сделать хакеру, — это создать пакеты и отправить их в приложение.NET Core.

CVE-2017-8700 также затрагивает ASP.NET Core, в частности, «уязвимость раскрытия информации… которая позволяет обходить конфигурации совместного использования ресурсов между источниками (CORS)». Уязвимость позволяет злоумышленнику получить доступ к контенту, который обычно защищен ограничениями в веб-приложениях.

Это только четыре из 20 наиболее критических уязвимостей, устраненных в ноябрьском обновлении Microsoft, но есть надежда, что общие темы (особенно удаленный доступ и кража конфиденциальных данных) будут признаны причинами для исправления. Огромное количество уязвимостей, связанных с удаленным выполнением кода, вызывает тревогу и требует скорейшего внедрения этих исправлений. Полный список многих критических уязвимостей можно найти в Threatpost «Лаборатории Касперского» на эту тему.

Приступайте к исправлению!