BIULETYNY KRYTYCZNE

Biuletyn MS09-071

Dwie luki usuwane przez tę aktualizację umożliwiają zdalne wykonanie kodu, gdy wiadomości odebrane przez serwer usługi uwierzytelniania internetowego zostaną nieprawidłowo skopiowane do pamięci podczas obsługi prób uwierzytelnienia PEAP. Osoba atakująca, której uda się wykorzystać jedną z tych podatności, może uzyskać pełną kontrolę nad atakowanym systemem. Poprawkę powinni zainstalować użytkownicy Windows 2000, XP, Server 2003, Vista oraz Server 2008 (choć nie dla wszystkich wymienionych systemów ma ona wskaźnik ważności „krytyczny”).

(szczegółowe informacje)

Biuletyn MS09-072

Jest to zbiorcza aktualizacja zabezpieczeń przeznaczona dla wszystkich wersji Internet Explorera - specjaliści zdążyli już uznać ją za najważniejsze uaktualnienie tego miesiąca. Łata ono w sumie pięć luk związanych z uszkodzeniem niezainicjowanej pamięci, uszkodzeniem pamięci obiektu HTML oraz inicjalizacją obiektu COM biblioteki ATL (Active Template Library). Wszystkie umożliwiają zdalne wykonanie kodu podczas odwiedzin na specjalnie sprerarowanej stronie internetowej.

Dziennik Internautów w ubiegłym miesiącu informował o pojawieniu się exploitów wykorzystujących luki w starszych wersjach IE. Na uwagę zasługuje fakt, że spośród łatanych błędów aż trzy dotyczą także Internet Explorera 8. Eksperci zalecają jak najszybsze zainstalowanie tej aktualizacji.

(szczegółowe informacje)

Biuletyn MS09-074

Ostatni z biuletynów krytycznych usuwa dziurę w zabezpieczeniach programu Microsoft Office Project, która może pozwolić na zdalne wykonanie kodu w przypadku uruchomienia specjalnie spreparowanego pliku. Cyberprzestępca, któremu uda się wykorzystać tę lukę, będzie mógł na zaatakowanym systemie instalować programy, przeglądać, zmieniać i usuwać dane oraz tworzyć nowe konta z pełnymi uprawnieniami. Błąd dotyczy wersji 2000, 2002 oraz 2003.

(szczegółowe informacje)

BIULETYNY WAŻNE

Biuletyn MS09-069

Ta z kolei aktualizacja eliminuje błąd w zabezpieczeniach systemu Windows 2000, XP oraz Server 2003. Usuwana luka umożliwia przeprowadzenie ataku typu DoS (Denial of Service, z ang. odmowa usługi), jeśli podczas sesji komunikacji za pośrednictwem zabezpieczeń protokołu internetowego (IPSEC) z usługą LSASS w zagrożonym systemie uwierzytelniona osoba atakująca wyśle specjalnie spreparowany komunikat ISAKMP.

(szczegółowe informacje)

Biuletyn MS09-070

Tym biuletynem powinni zainteresować się użytkownicy wszystkich wersji Windows Server 2003 i 2008. Usuwa on dwie luki. Jedna z dziur w zabezpieczeniach usługi ADFS (Active Directory Federation Services) umożliwia osobie atakującej podszycie się pod użytkownika uwierzytelnionego, jeśli uzyska ona dostęp do stacji roboczej. Drugi z błędów w tej samej usłudze jest groźniejszy i pozwala na zdalne wykonanie kodu, w wyniku czego może dojść do przejęcia pełnej kontroli nad zaatakowanym systemem.

(szczegółowe informacje)

Biuletyn MS09-073

Na uwagę zasługuje też aktualizacja usuwająca lukę w zabezpieczeniach konwerterów tekstu programu WordPad oraz pakietu Microsoft Office. Dziura ta może pozwolić na zdalne wykonanie kodu podczas otwierania specjalnie spreparowanych plików. Intruz, któremu uda się wykorzystać błąd, może uzyskać takie same uprawnienia, jak użytkownik. Omawiana aktualizacja ma wskaźnik ważności „ważny” dla programu WordPad we wszystkich obsługiwanych wersjach systemu Windows 2000, XP oraz Server 2003. Powinni ją zainstalować także użytkownicy oprogramowania Office Word 2002 i 2003, Works 8.5 oraz Office Converter Packa.

(szczegółowe informacje)