Video: All the Microsoft Office 365 apps explained (Oktober 2024)
I går utstedte Microsoft 13 sikkerhetsbulletiner som dekket rundt 47 feil i en litt større enn vanlig patch tirsdag. Blant disse ble fire oppført som kritiske og resten merket som viktig. Gjør deg klar til å oppdatere!
Interessant nok ble en fjortende oppdatering relatert til et problem med avslag på tjenesten i.NET kunngjort i forrige uke, men har blitt holdt tilbake for videre testing. Kanskje ønsker Microsoft å unngå noe av forvirringen fra forrige måneds oppdatering tirsdag, der en oppdatering måtte trekkes etter utgivelsen.
Internet Explorer og samfunnsingeniør
Microsoft adresserte ti sårbarheter med en kumulativ oppdatering til Internet Explorer, som påvirker versjon seks til 10. Dette betyr at omtrent alle vil bli berørt av disse endringene, noe som er til det beste ettersom noen av disse feilene tillot kjøring av ekstern kode.
"De alvorligste sårbarhetene kan tillate ekstern kjøring av kode hvis en bruker ser på en spesiallaget webside med Internet Explorer, " skrev Microsoft. "En angriper som med suksess utnyttet det alvorligste av disse sikkerhetsproblemene, kunne få de samme brukerrettighetene som den nåværende brukeren." Dette er et annet stort argument for å aldri bruke en konto med administratorrettigheter for det daglige arbeidet.
Microsoft Word og Excel vil se oppdateringer som adresserer et sårbarhet i filformat, der en spesiallaget Office-fil kan brukes til å utføre kode på datamaskinens offer. "Microsoft vurderer bare disse sårbarhetene som 'viktige' fordi de krever at målet skal samarbeide, " skriver Qualys CTO Wolfgang Kandek. "Angripere har imidlertid bevist gang på gang at de har den nødvendige sosialtekniske teknikken for å overvinne den hindringen med letthet."
Faktisk har rapportene vi har sett, satt sosialteknikk på toppen av de store truslene mot brukerne, som er beslaglagte filer som de som er adressert med disse Office-oppdateringene. Disse filene er utrolig farlige fordi de ser legitime ut, og vi har sett hvordan de har blitt brukt til stor effekt i avanserte vedvarende trusselangrep.
Outlook og andre
De populære versjonene av Microsoft og Outlook 2007 ble også oppdatert denne måneden, og fikset en spesielt stygg sårbarhet. "En angriper kan utnytte sertifikatparteringsalgoritmen ved å signere en e-post og hekke over 256 sertifikater i signaturen, " forklarte Kandek. "Angrepet forårsaker et bufferoverløp, selv om det bare er visualisert i Outlook's forhåndsvisningsrute."
Selv om Microsoft sier at utsiktsangrepet er vanskelig å trekke av, er det farlig siden offeret ikke trenger å gjøre noe for at angrepet skal lykkes.
I tillegg til disse ga Microsoft ut kritiske oppdateringer for Sharepoint 2003, 2007, 2010 og 2013, samt Microsoft Visio. Lappene merket viktige deksler OLE, Windows-temafiler, Microsoft Access, Office IME Chinese, Kernal-Mode drivere, Windows Service Control Manager, FrontPage og Active Directory.
Bilde via Flickr-bruker Dan Dickinson
