Microsoft ha rilasciato un’emergenza out-of-band sicurezza aggiornamento di oggi per risolvere due problemi critici di sicurezza — una vulnerabilità zero-day di Internet Explorer, il motore di scripting che è stata sfruttata, e Microsoft Defender bug.
Gli aggiornamenti si distinguono perché Microsoft di solito piace a mantenere la rotta e solo rilascio di aggiornamenti della protezione per il secondo martedì di ogni mese. L’azienda raramente si rompe questo schema, ed è di solito solo per importanti problemi di sicurezza.
Questa è una di quelle rare occasioni, e Windows si consiglia agli utenti di installare gli aggiornamenti odierni il più presto possibile. La patch per IE zero-day è un aggiornamento manuale, mentre il Difensore bug verrà assegnata tramite un aggiornamento silenzioso.
IE zero-day
Dei due bug di Internet Explorer zero-day è il più importante, soprattutto perché è già stata sfruttata in attacchi attivi in natura.
Dettagli su gli attacchi sono ancora avvolti nel mistero, e Microsoft raramente rilascia tali dettagli. Quello che sappiamo è che gli attacchi zero-day sono stati segnalati a Microsoft di Clément Lecigne, un membro di Google Minaccia di Analisi di Gruppo.
Questa è la stessa Google minaccia di intel squadra che ha rilevato gli attacchi con iOS zero-day contro i Cinesi Uyghur comunità all’inizio di quest’anno. Questi attacchi di mira anche Android e gli utenti di Windows; tuttavia, non è chiaro se IE zero-day patch di oggi fa parte di quegli attacchi.
Ma quello che sappiamo ora è che IE zero-day è molto grave vulnerabilità. È ciò che i ricercatori chiamano un esecuzione di codice remoto (RCE) problema.
Secondo Microsoft, “la vulnerabilità potrebbe danneggiare la memoria in modo da consentire a un utente malintenzionato di eseguire codice arbitrario nel contesto dell’utente corrente.”
“Un utente malintenzionato può sfruttare la vulnerabilità, può ottenere gli stessi diritti utente dell’utente corrente,” Microsoft ha detto. “Se l’utente corrente è connesso con privilegi di amministrazione, un utente malintenzionato può sfruttare la vulnerabilità può assumere il controllo del sistema interessato. Un utente malintenzionato potrebbe quindi a installare programmi e visualizzare, modificare o eliminare dati oppure creare nuovi account con diritti utente completi.”
L’attacco è necessario attirare un utente di Internet Explorer su un sito web dannoso, che è piuttosto un compito banale, come può essere ottenuta con vari metodi, come lo spam, e-mail, IM spam, il motore di ricerca di annunci di malvertising campagne, e altri.
La buona notizia è che Internet Explorer utilizzo è andato giù a 1,97% di quota di mercato, secondo StatCounter, nel senso che il numero di utenti vulnerabili agli attacchi è piuttosto piccola, e gli attacchi dovrebbero essere piuttosto limitata.
IE zero-day è monitorata con il CVE-2019-1367 identificatore. In un avviso di sicurezza, Microsoft elenca varie soluzioni per la protezione di sistemi in caso di aggiornamento di oggi non può essere applicata subito. L’avviso di sicurezza contiene anche i link per il manuale di pacchetti di aggiornamento di Windows che gli utenti devono scaricare dal Catalogo di Microsoft Update sulla loro sistemi di mano. La patch per IE zero-day non sarà disponibile tramite Windows Update.
Microsoft Defender DoS bug
Il secondo problema risolto oggi è un denial of service (DoS) una vulnerabilità in Microsoft Defender, precedentemente noto come Windows Defender, l’antivirus standard che viene fornito con Windows 8 e versioni successive, tra cui il diffuso Windows 10 versione.
Secondo Microsoft, “un utente malintenzionato potrebbe sfruttare la vulnerabilità per impedire il legittimo conti l’esecuzione di legittimo binari di sistema.”
La buona notizia è che questo bug non è un grosso problema. Per sfruttare questo bug, un utente malintenzionato deve accedere a una vittima del sistema e la possibilità di eseguire codice.
Il bug permette una minaccia attore per disattivare Microsoft Defender componenti da eseguire, ma se l’attaccante ha già “diritti di esecuzione” sul computer della vittima, poi ci sono molti altri modi per eseguire codice dannoso inosservato — come fileless attacchi.
Tuttavia, Microsoft ha rilasciato l’aggiornamento v1.1.16400.2 per il Microsoft Malware Protection Engine, un componente di Microsoft Defender antivirus, per risolvere questo problema.
Questo bug è registrata come CVE-2019-1255. Microsoft accreditato Charalampos Billinis di F-Secure Countercept e Wenxu Wu di Tencent Sicurezza Xuanwu Laboratorio con la scoperta di questo problema.
Sicurezza
Cari operatori di rete, si prega di utilizzare gli strumenti esistenti per fix di sicurezza
Massiccia ondata di conto dirotta successi creativi di YouTube
Apple sterilizzati ad bloccanti in Safari, ma a differenza di Chrome, gli utenti non dire una cosa
GDPR un anno dopo: Le sfide che le organizzazioni devono ancora affrontare (ZDNet YouTube)
Il migliore fai da te sistemi di sicurezza domestica del 2019 (CNET)
I governi che ancora lottano per contendersi con un’arma piattaforme di social media (TechRepublic)
Argomenti Correlati:
Microsoft
Di sicurezza, TV
La Gestione Dei Dati
CXO
Centri Dati