Microsoft včera, tak jako každé druhé úterý v měsíci, zveřejnil
pravidelnou dávku svých bezpečnostních záplat.
Vydáno bylo 13 bulletinů zabezpečení/oprav. 3 z nich Microsoft
označuje jako kritické, 10 má známku důležité (druhé pořadí dle
významnosti). Látaných zranitelností bylo celkem 19, postiženými
produkty jsou operační systém a jeho komponenty, Internet Explorer i
MS Office.
Oprava MS11-087 řeší kritickou chybu v jádře Windows při zpracování
fontů TrueType. Právě této zranitelnosti zneužíval malware DuQu.
Výsledkem chyby mohlo být vzdálené spuštění kódu a totální ovládnutí
počítače útočníkem.
Další kritická oprava, MS11-090, představuje kumulativní aktualizaci
pro obranu před škodlivými prvky ActiveX (ActiveX Kill Bits), třetí
kritická oprava MS11-092 je určena pro Windows Media Player.
Dosud ne zcela vyřešen je problém s přenosovou vrstvou pro komunikaci
protokolem SSL/TLS (možné zneužití se označuje jako Beast, Browser
Exploit Against SSL/TLS).
Šifrovaný obsah přenášený mezi klientem a
serverem bylo v tomto případě možné částečně získat v otevřené podobě
pomocí útoku man-in-the-middle. V září Microsoft ukázal, jak lze
problém obejít a teď v prosinci měla být pro Internet Explorer k
dispozici finální záplata. Její vydání ale muselo být odloženo,
protože údajně nebyla kompatibilní se systémem SAP. Microsoft nicméně
uklidňuje zákazníky, že útoky typu Beast reálně nezaznamenal.
A když je konec roku, jaká je celková bilance? Microsoft letos vydal
99 bulletinů zabezpečení, z nichž kritických bylo 32 %. Je to nejmenší
poměr za celou dobu existence tohoto mechanismu uvolňování oprav (od
roku 2004). V absolutních číslech je počet kritických zranitelností
letos nejnižší od roku 2005.
Zdroj: CNet, HelpNet