Patch Tiistai: Tietoturva Focus Microsoft, Oracle Patch Bugs

Microsoft purki asioita pois tiistaina aamuna 11 tietoturvapäivitystä, mukaan lukien korjaukset kriittisiin tietoturvariskeihin Windows Active Directoryissa, Internet Explorerissa, Excelissä, Microsoftin ja Microsoftin päivityksissä. ja Microsoft Host Integration Server, joka integroi Windows-tietokoneita IBM-pääkoneilla.

Tietoturva-asiantuntijat sanovat, että Internet Explorerin päivitys, joka korjaa kuusi vikaa selaimessa, on katseltava.

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Mutta asiakkaat, jotka käyttävät Windows Active -ohjelmaa, ovat erittäin tärkeitä Internet Explorer 6 -käyttäjille, jotka käyttävät Windows XP: Vanhojen Windows 2000 -tietokoneiden hakemiston pitäisi siirtää MS08-060 Active Directory -päivitys niiden korjaustiedon yläosaan, kertoo Lumension Securityn ratkaisujen ja strategian johtaja Don Leatham. Koska Active Directory -palvelimen avulla voidaan määrittää käyttöoikeudet muille koneille ja hallita verkossa olevia käyttäjiä, tämän koneen ottaminen olisi "Pyhä Graal, joka yrittää päästä yritykseen ja kokonaan häiritä sitä."

Normaalisti Active Directory -palvelimet on estetty palomuurissa, mikä tarkoittaa, että hyökkääjä joutuisi todennäköisesti olemaan sisäinen verkko hyökkäyksen muodostamiseksi, sanoi teknologiajohtaja Eric Schultze, Shavlik Technologies. Mutta vika "tarkoittaa sitä, että kaikki sisäiset, tyytymättömät käyttäjät voivat ottaa täydellisen hallinnan Windows 2000 -verkkotunnuksista ja verkkotunnusten ohjaimista."

Tämän ongelman lieventäminen on kuitenkin se, että Microsoftilla ei ole ollut raportteja siitä, että tämä haavoittuvuutta on hyödynnetty hyökkäyksessä. Vaikka on todennäköistä, että hyökkääjä voi kaataa Windows 2000 -tietokoneen hyödyntämällä tätä vikaa, "ongelmanratkaisujen käyttäminen hyödyntämällä hyödyllistä hyväksikäyttökoodia on vaikeaa", Microsoft totesi verkkosivustossaan.

Yhteensä 20 suojausvikaa korjattiin Microsoftin 11 päivityksessä. Mukana oli myös kuusi vähemmän tärkeää päivitystä, joiden arvot olivat "tärkeät", Microsoftin eri Windows-komponenttien kohdalla ja "kohtuullinen" korjaustiedosto, joka korjaa ongelman, joka voi antaa hyökkääjän snoopata tietoja Office-käyttäjältä.

Oraclen tietoturvapäivitykset, odotettavissa klo 13.00 Tyynenmeren aikaa, sisältää korjauksia 36 bugille useissa Oracle-tuotteissa, mukaan lukien yhtiön lippulaiva-tietokanta, sen sovelluspalvelin, E-Business Suite ja WebLogic-palvelin ja kehitystyökalut. Myös JD Edwards- ja PeopleSoft -tuotteille on suunniteltu bugikorjauksia.

On outoa, että sekä Microsoft että Oracle poistavat korjaustiedotteita samana päivänä. Microsoftin tietoturvapäivitykset tulevat joka kuukauden toisena tiistaina, joka tunnetaan Patch-tiistaina teollisuudessa. Mutta Oraclen laastarit ovat neljännesvuosittainen tapaus, joka toimitetaan tiistaina lähinnä kuukauden puolivälissä. Tyypillisesti tämä asettaa Oraclen korjaustiedostot kuukauden kolmannelle tiistaikalle, mutta tässä kuussa Microsoft- ja Oracle-julkaisupäivät ovat lähentyneet.

Tiistain Microsoft-päivitykset saivat hieman enemmän tietoa myös yhtiön asiakkaille. Ne sisälsivät uuden osion nimeltä "Exploitability Index", jonka tarkoituksena on helpottaa Windows-käyttäjien selvittämistä, mitkä hakkerit todennäköisesti käyttävät virheitä.

Microsoft on nyt luokittanut kaikki tietoturvapäivityksensä seuraavilla kuvauksilla: "Käytännöllinen virhekoodi", "epäjohdonmukainen käyttökoodi todennäköisesti" tai "toiminnallinen käyttökoodi epätodennäköistä."

Yritys ilmoitti, että kriittisten Internet Explorerin, Microsoft Host Integration Server- ja Excel-päivitysten virheet ovat todennäköisesti virheitä. Yksi Internet Explorerin virheistä, joiden avulla hyökkääjä voisi saada korkeampia oikeuksia Windows-koneessa, on jo julkistettu, mutta sitä ei ole uskottu käyttäneen reaalimaailmoissa.

Toinen ensimmäinen: Microsoft antoi tietyille tietoturvakumppaneille aikaista pääsyä sen päivityksiin tänä kuussa, jotta he voisivat rullata hyökkäyksen havaitsemisen ohjelmistaan, kun laastarit julkaistiin tiistaina.