Diit.cz - Novinky a informace o hardware, software a internetu

Bezpečnostní aktualizace od Microsoftu: Prosinec 2009

Záplata na Windows
Poslední letošní bezpečnostní aktualizace od Microsoftu se nesou ve znamení záplat bezpečnostních děr, stejně jako všechny předchozí. Ne, vážně, dochází invence v popisování toho, co Microsoft každé druhé úterý v měsíci dělá, takže to nebudeme natahovat a půjdeme rovnou na to (a od příště – to už snad bude na serveru Deep in IT – to bude ještě stručnější)…

Kapitoly článků

1.  MS09-069 - MS09-074


Díra ve službě Local Security Authority Subsystem umožňuje zatuhnutí služby

Důležitá

Systémy Windows 2000, Windows XP a Windows Server 2003 (včetně existujících x64 a IA-64 verzí) obsahují v LSASS drobnou zranitelnost, skrze niž je možné vzdáleně příslušnou komunikací (upravená ISAKMP zpráva) skrze IPsec vyčerpat volné prostředky, které má tato služba k dispozici, což vede k jejímu zahlcení (a to trvá až do restartu).

Další informace a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-069.



Díry v Active Directory Federation Services umožňují vzdálené spuštění kódu

Důležitá

Windows Server 2003 R2 a Windows Server 2008 (bez přídavku „R2“) obsahují dvě nově objevené bezpečnostní chyby v Active Directory Federation Services (které do Windows Serveru 2003 přidává právě „update“ R2, takže pokud 2003 R2 nemáte, je to OK), jedna z nich může vést ke vzdálenému spuštění kódu, ve druhém případě jde o spoofing, kdy se může útočník vydávat za jiného uživatele na webové stránce používající jednoduchou přihlašovací funkčnost Active Directory Federation Services.

Další informace a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-070.



Díry v Internet Authentication Service umožňují vzdálené spuštění kódu

Kritická

Všechny systémy vyjma Windows 7 a Windows Server 2008 R2 obsahují dvě nově objevené bezpečnostní chyby (už bychom si na tyhle fráze také mohli vytvořit bota, jako má nejspíše Microsoft, že? ;-), jedna z nich, navíc již se zveřejněnými detaily, umožňuje vzdálené spuštění kódu bez přičinění uživatele (stačí jen na IAS server zaslat patřičně upravený požadavek na autentizaci PEAP), druhá umožňuje útočníkovi skrze díru v MS-CHAP v2 získat práva nějakého legitimního uživatele a případně se dostat na patřičné síťové prostředky.

Další informace a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-071.



Kumulativní aktualizace aplikace Internet Explorer

Kritická

Prosincová kumulativní aktualizace IE (týká se samozřejmě úplně všech podporovaných verzí, od IE 5.01 ve Windows 2000 až po IE 8 ve Windows 7/Serveru 2008 R2) záplatuje čtyři nově objevené bezpečnostní díry, všechny s potenciálním rizikem spuštění kódu skrze tento webový prohlížeč. K tomu asi není co dodat, nicméně další informace a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-072.



Díra ve WordPadu a Office Text Converters umožňuje vzdálené spuštění kódu

Důležitá

WordPad a Office Text Converters obsahují společnou bezpečnostní díru týkající se možnosti spuštění vnořeného kódu útočníka do souborů typu .wri. Týká se to Windows 2000, XP a Serveru 2003 včetně příslušných x64 a IA-64 verzí a dále Office XP a Office 2003, Works 8.5 i samotného Microsoft Office Converter Packu. při instalaci se můžete setkat s konfliktem verzí u souboru Msconv97.dll, podrobnosti v KB975539.

Další informace a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-073.



Díra v Office Projectu umožňuje vzdálené spuštění kódu

Kritická

Jedna bezpečnostní díra byla objevena v aplikaci Microsoft Office Project a týká se verzí 2000, 2002 a 2003. Scénář je notoricky známý, vnořený kód v souborech pro tuto aplikaci může být spuštěn z důvodu nedostatečného ošetření alokace paměti při otevírání takových souborů. Další informace a odkazy ke stažení obsahuje Microsoft Security Bulletin MS09-074.

Zdroje: 
Kapitoly článků
1.  MS09-069 - MS09-074

WIFT "WIFT" WIFT

Bývalý dlouholetý redaktor internetového magazínu CDR-Server / Deep in IT, který se věnoval psaní článků o IT a souvisejících věcech téměř od založení CD-R serveru. Od roku 2014 už psaní článků fakticky pověsil na hřebík.

více článků, blogů a informací o autorovi

Diskuse ke článku Bezpečnostní aktualizace od Microsoftu: Prosinec 2009

Neděle, 10 Leden 2010 - 17:27 | WIFT | Víme o tom, bohužel není jediný :(
Pátek, 8 Leden 2010 - 17:20 | Harry | Pekne jste ten clanek prevodem z cdr na diit...
Úterý, 15 Prosinec 2009 - 18:07 | WIFT | Třeba já si PC spravuju doma "manuálně...
Úterý, 15 Prosinec 2009 - 17:59 | Anonym | Přidávám se k těm, co rozhodně tyto články...
Neděle, 13 Prosinec 2009 - 23:36 | Mintaka | Nerušit prosím.
Pátek, 11 Prosinec 2009 - 13:32 | MiniMates | též se přikláním k názoru "nerušit&...
Pátek, 11 Prosinec 2009 - 12:11 | Anonym | Prosíme moc, nerušte tyto stránky!!! Díky. A ti,...
Středa, 9 Prosinec 2009 - 23:03 | Anonym | Eset mi hlásí den dopředu seznam všech...
Středa, 9 Prosinec 2009 - 22:32 | Max Devaine | Taktéž souhlasím. Dobrý přehled. Nerušit :) Zdar...
Středa, 9 Prosinec 2009 - 13:41 | Anonym | Suhlasim, mam rad takyto prehlad. Takyto thread...

Zobrazit diskusi