První letošní bezpečnostní opravy Microsoftu

Pavel Houser , 11. leden 2017 14:00 0 komentářů

Microsoft vydal v úterý 10. 1. své lednové aktualizace včetně oprav pro prohlížeč Edge i proti vzdálenému spuštění kódu v MS Office.

První letošní záplata/bulletin zabezpečení MS17-001 je určena pro prohlížeč Edge na Windows 10 a Windows Server 2016. Tentokrát však ani zranitelnost prohlížeče není označena za kritickou, jedná se pouze o eskalaci oprávnění.

Oprava MS17-002 se týká porušené paměti, které umožňuje vzdálené spuštění kódu v Microsoft Office 2016 nebo v prostředí SharePoint Enterprise Server 2016. Útočník může použít speciálně upravený soubor ve formát MS Word, po jeho otevření získá oprávnění aktuálně přihlášeného uživatele. Ani tato oprava však podle Microsoftu nemá kritický status, byť jde o spuštění kódu. Balíček MS17-003 je kumulativní záplata Microsoftu pro Flash Player. Opravuje celkem 12 chyb a jako jediná z lednových záplat je označena nejvyšším stupněm závažnosti. Uživatelům Internet Exploreru, MS Edge i Google Chrome se plug-in pro Flash v prohlížeči aktualizuje automaticky.

Čtvrtý bulletin MS17-003 látá službu Local Security Authority Subsystem Service na klientské i serverové straně Windows, kde lze problém s ověřením zneužít pro útok DoS (restarty systémů). Tento problém byl již zveřejněn dříve, takže nástroje pro efektivní zneužití se objeví zřejmě brzy nebo je již útočníci mají v rukou.

Pomineme-li záplaty pro Flash Player, měsíční aktualizace neobsahuje kritické opravy, což je výjimečné, stejně tak jako celkově malý počet balíčků. Po klidnějším měsíci bývá obvykle o to více bulletinů zabezpečení v tom následujícím.

Adobe současně vydala vlastní balíček oprav pro přehrávač Flash Player (označeno za kritické pro Windows a MacOS X, ne pro Linux; žádná z těchto chyb dosud podle všeho není masově zneužívána; opravené verze jsou od 24.0.0.186) a Acrobat/Reader (zde jde o 29 chyb, některé mají kritický status a umožňují vzdálené spuštění kódu už při otevření PDF souboru, exploit může obejít sandbox; ani zde však pokusy o zneužití dosud zaznamenány nebyly).


Komentáře

RSS 

Komentujeme

Bezpečnost IT a tygří logika

Pavel Houser , 14. únor 2017 11:00
Pavel Houser

Jak praví známý vtip, běží-li za vámi tygr, netřeba se pohybovat rychleji než šelma – stačí předběhn...

Více






Kalendář

22. 02. IT mezi paragrafy
20. 03.

24. 03.
CeBIT 2017
25. 03. INSPO 2017
RSS 

Zprávičky

Verizon koupí aktivity Yahoo za sníženou cenu 4,48 miliardy USD

ČTK , 21. únor 2017 16:05

Americký telekomunikační operátor Verizon Communications se dohodl na nových podmínkách převzetí zák...

Více 0 komentářů

Jen desetina SMB firem těží z digitální transformace

ITBiz.cz , 21. únor 2017 09:00

Studie IDC a SAP ukázala, že čtyři z pěti SMB firem vidí v digitální transformaci značné výhody včet...

Více 0 komentářů

Trump si nechal registrovat tisíce internetových domén

ČTK , 21. únor 2017 08:30

Málokterá veřejná osoba je tak aktivní ve skupování internetových domén jako americký prezident Dona...

Více 3 komentářů

Starší zprávičky

Mall Group ovládla internetový obchod s elektrem CZC.cz

ČTK , 20. únor 2017 16:39

Skupina Mall Group se stala jediným vlastníkem e-shopu CZC.cz. Od zakladatele obchodu Josefa Matějky...

Více 2 komentářů

Eurowag dokončil akvizici firmy Princip

Pavel Houser , 20. únor 2017 16:12

W.A.G. payment solutions proniká na trh telematických služeb....

Více 0 komentářů

Samsung zpřístupňuje nové čipy 5G RFIC

Pavel Houser , 20. únor 2017 16:01

Čip dokáže poskytnout větší pokrytí v pásmu milimetrových vln (mmWave)....

Více 0 komentářů

Soud povolil vydání Dotcoma do USA, ten se znovu odvolá

ČTK , 20. únor 2017 12:00

Novozélandský soud zamítl odvolání internetového magnáta německého původu Kima Dotcoma proti jeho vy...

Více 0 komentářů

AbcPráce