Microsoft vydal v úterý 10. 1. své lednové aktualizace včetně oprav pro prohlížeč Edge i proti vzdálenému spuštění kódu v MS Office.
První letošní záplata/bulletin zabezpečení MS17-001 je určena pro prohlížeč Edge na Windows 10 a Windows Server 2016. Tentokrát však ani zranitelnost prohlížeče není označena za kritickou, jedná se pouze o eskalaci oprávnění.
Oprava MS17-002 se týká porušené paměti, které umožňuje vzdálené spuštění kódu v Microsoft Office 2016 nebo v prostředí SharePoint Enterprise Server 2016. Útočník může použít speciálně upravený soubor ve formát MS Word, po jeho otevření získá oprávnění aktuálně přihlášeného uživatele. Ani tato oprava však podle Microsoftu nemá kritický status, byť jde o spuštění kódu.
Balíček MS17-003 je kumulativní záplata Microsoftu pro Flash Player. Opravuje celkem 12 chyb a jako jediná z lednových záplat je označena nejvyšším stupněm závažnosti. Uživatelům Internet Exploreru, MS Edge i Google Chrome se plug-in pro Flash v prohlížeči aktualizuje automaticky.
Čtvrtý bulletin MS17-003 látá službu Local Security Authority Subsystem Service na klientské i serverové straně Windows, kde lze problém s ověřením zneužít pro útok DoS (restarty systémů). Tento problém byl již zveřejněn dříve, takže nástroje pro efektivní zneužití se objeví zřejmě brzy nebo je již útočníci mají v rukou.
Pomineme-li záplaty pro Flash Player, měsíční aktualizace neobsahuje kritické opravy, což je výjimečné, stejně tak jako celkově malý počet balíčků. Po klidnějším měsíci bývá obvykle o to více bulletinů zabezpečení v tom následujícím.
Adobe současně vydala vlastní balíček oprav pro přehrávač Flash Player (označeno za kritické pro Windows a MacOS X, ne pro Linux; žádná z těchto chyb dosud podle všeho není masově zneužívána; opravené verze jsou od 24.0.0.186) a Acrobat/Reader (zde jde o 29 chyb, některé mají kritický status a umožňují vzdálené spuštění kódu už při otevření PDF souboru, exploit může obejít sandbox; ani zde však pokusy o zneužití dosud zaznamenány nebyly).
