Dubnové opravy Microsoftu látají operační systém, prohlížeče, hypervisor i medializovaný BadLock

Pavel Houser , 13. duben 2016 19:00 0 komentářů

Jako každé druhé úterý v měsíci vydal Microsoft 12. dubna pravidelnou dávku bezpečnostních oprav. Za nejzávažnější problém se podle The Register pokládá zranitelnost v hypervisoru Hyper-V, které umožňuje obejít izolaci hostovaného systému (eskalace „nad virtuální stroj“). Škodlivá aplikace tak může běžet nikoliv je v rámci svého virtuálního stroje, ale ovlivnit i ostatní systémy a celý server (tj. spuštění kódu v rámci hostitelského prostředí).

Dále byly opraveny chyby v systému MS Office, v prohlížečích Internet Explorer i Edge a komunikační platformě Skype. Některé z těchto zranitelností označuje Microsoft jako kritické a umožňují vzdálené spuštění kódu.

Celkem Microsoft v dubnu vydal 13 bulletinů zabezpečení, které látají 40 zranitelností. Výše zmíněného problému v MS Hyper-V se týká balíček oprav MS16-045. Balíček MS16-037 představuje kumulativní aktualizaci pro Internet Explorer, některé z chyb jsou zneužitelné už při návštěvě podvodného webu. Bulletin zabezpečení MS16-037 je podobou aktualizací pro nový prohlížeč Edge. Oprava MS16-042 je určena pro MS Office, zranitelnost (porušení paměti) umožňuje spuštění kódu při otevření podvodného souboru, přičemž jedna z těchto zranitelností se týká i verze MS Office pro Mac OS. Další záplaty jsou určeny pro samotný operační systém včetně jeho rozhraní .NET Framework a OLE.

Microsoft v této souvislosti upozorňuje na kritickou záplatu MS16-039, která se týká všech podporovaných verzí Windows i dalších produktů (Skype for Business, MS Lync...). Tuto chybu lze zneužít pomocí škodlivých grafických souborů nebo fontů, vzdálený útočník pak získá plná práva k systému. Při použití příslušných fontů ke kompromitaci stačí, aby oběť navštívila podvodný web.

Žádná z uvedených zranitelností není podle všeho zatím aktivně zneužívána.

Zajímavé je, že Microsoft opravil také velmi medializovanou chybu BadLock, která se týká kromě Windows i systémů Samba (O chybě BadLock viz jeden z předcházejících bezpečnostních přehledů http://www.itbiz.cz/clanky/bezpecnostni-prehled-hackerska-soutez-pwn2own). Příslušná záplata (MS16-047) ale jako kritická označena není, jako hlavní možné zneužití se v tomto případě uvádějí útoky typu man-in-the-middle nebo DoS. Příslušnou opravu vydali i vývojáři Samby, ovšem pouze pro verze 4.2 a novější. Zranitelnost se přitom týká i starších verzí od 3.6. Podle průzkumu na ZDNet pokládá ovšem většina komentátorů dění kolem chyby BadLock spíše za humbuk a samotná záležitost není svou závažností vůbec srovnatelná se zranitelností HeartBleed, jak se snažili prezentovat její objevitelé.

Adobe současně s Microsoftem vydala záplaty pro přehrávač Flash Player i další produkty (Creative Cloud a server RoboHelp). Opravy přehrávače Flash Player jsou i součástí dubnových záplat Microsoftu (kritický bulletin zabezpečení MS16-050).


Komentáře

RSS 

Komentujeme

Intel Inside aneb všichni jsme načipováni

Petr Zavoral , 10. prosinec 2017 18:20
Petr Zavoral

V Havlově hře Audience přesvědčuje Sládek Ferdinanda Vaňka, aby donášel sám na sebe. Z pohledu letoš...

Více







Kalendář

09. 01.

13. 01.
CES 2018
18. 01.

19. 01.
itSMF 2018
29. 01.

30. 01.
G2BTechEd
RSS 

Zprávičky

APEK: Dnes obrat za miliardu?

Pavel Houser , 11. prosinec 2017 13:04

Právě dnes očekává Asociace pro elektronickou komerci (APEK) vrchol objednávek vánočních dárků na in...

Více 0 komentářů

Termínový kontrakt na bitcoin při debutu stoupl až na 18 700 dolarů

ČTK , 11. prosinec 2017 10:39

Termínový kontrakt na internetovou měnu bitcoin při svém debutu ve Spojených státech zpevnil o více ...

Více 0 komentářů

Western Digital zruší arbitráž proti Toshibě

ČTK , 11. prosinec 2017 08:00

Japonská společnost Toshiba a americká firma Western Digital se v zásadě dohodly na urovnání sporu o...

Více 0 komentářů

Starší zprávičky

Spotify a Tencent se propojují

ČTK , 10. prosinec 2017 08:00

Přední světová služba pro streamování hudby Spotify a čínská konkurenční firma Tencent Music Enterta...

Více 0 komentářů

Bezpečnostní politika firem brání plně využít potenciál IoT

Pavel Houser , 09. prosinec 2017 08:00

Tři čtvrtiny účastníků průzkumu EY Global Information Security Survey 2017 pokládají za nejpravděpod...

Více 4 komentářů

Globální výdaje na bezpečnost IT porostou v příštím roce o 8 % na 96 miliard dolarů

Pavel Houser , 08. prosinec 2017 10:57

Nejrychleji porostou řešení SIEM, testování IT bezpečnosti a její outsourcing. ...

Více 1 komentářů

Soud EU: Luxusní značky mohou zakázat internetový prodej zboží

ČTK , 08. prosinec 2017 10:00

Oponenti poukazují na to, že omezení prodejů jde proti hospodářské soutěži....

Více 2 komentářů