Поделиться
Microsoft залатала более сотни опасных дыр в Windows, Office и Explorer
Microsoft исправил более сотни уязвимостей Из 113 исправленных проблем 15 считаются критическими, ещё 94 — высокоопасными. Часть уязвимостей уже вовсю эксплуатировались злоумышленниками.
113 багов
Microsoft в середине апреля 2020 г. выпустил обширный патч, исправляющий 113 уязвимостей разного уровня в продуктах компании. 15 из них являются критическими, еще 94 — высокопасными. Минимум четыре киберзлоумышленники начали активно эксплуатировать еще до того, как Microsoft выпустил обновления. Информация о двух багах попала в публичное поле задолго до выпуска патчей.
Исправления затрагивают Microsoft Windows, Microsoft Edge (на базе EdgeHTML и Chromium), ChakraCore, Internet Explorer, Microsoft Office и Microsoft Office Services and Web Apps, Windows Defender, Visual Studio, Microsoft Dynamics, Microsoft Apps под Android и Mac.
Наиболее проблематичной является уязвимость CVE-2020-0968 в Internet Explorer: это критический баг, который может приводить к нарушению целостности памяти в Internet Explorer, что позволяет запускать в системе произвольный код. Причина кроется в скриптовом модуле браузера, некорректно обрабатывающем объекты.
Для эксплуатации достаточно заманить потенциальную жертву на сайт, содержащий вредоносный код, — предварительно создав его или скомпрометировав чей-то чужой. Кроме того, вредоносный код можно встроить в документ Microsoft Office. В обоих случаях атака потребует применения социальной инженерии, но в остальном — весьма тривиальна для эксплуатации.
Хотя Internet Explorer используется все реже, его доля в мире превышает 3%, так что уязвимость выглядит довольно привлекательной для киберзлоумышленников. Баг уже активно использовался в реальных кибератаках.
В активной эксплуатации
Также активно эксплуатировались две высокоопасных уязвимости под индексами CVE-2020-1020 и CVE-2020-0938. Обе относятся к WindowsAdobeTypeManagerLibrary.
CVE-2020-1020 — баг, связанный с некорректной обработкой специального базового шрифта формата AdobeType 1 PostScript. Злоумышленники могут запустить произвольный код в системе жертвы, если смогут убедить ее открыть и просмотреть специально подготовленный шрифт. Код будет функционировать с привилегиями текущего пользователя. Информация об этой проблеме попала в публичное поле еще до выпуска патчей.
Вторая уязвимость затрагивает модуль отрисовки шрифтов OpenType в Windows и также позволяет запускать произвольный код, если жертва соглашается просмотреть специально подготовленный шрифт.
Обе уязвимости активно эксплуатируются киберзлоумышленниками. Ситуация осложняется тем, что под атакой оказываются преимущественно машины на базе Windows 7, уже снятой с поддержки Microsoft. Это означает, что далеко не все потенциальные жертвы получат обновления против данного бага.
Последний из активно эксплуатируемых багов, CVE-2020-1027 затрагивает уже ядро самой операционной системы Windows и вызван некорректной обработкой объектов в памяти. Опять же, этот баг позволяет запускать произвольный код с повышенными привилегиями. Однако для этого требуется локальная авторизация злоумышленника, поэтому уязвимость обозначена как высокоопасная, но не критическая.
И прочие критические
Среди других критических уязвимостей, исправленных в рамках апрельского Patch Tuesday, три затрагивают Windows Media, одна — Windows Hyper-V, две — Microsoft Scripting Engine, три — Microsoft Office SharePoint, одна — Microsoft Office, две выявлены в MicrosoftGraphicsComponent, одна выявлена в MicrosoftDynamics, и одна — в самой операционной системе Windows.
«Хотя далеко не все из исправленных уязвимостей критические, системным администраторам категорически не стоит игнорировать и те, что обозначены как Important (высокоопасные), — считает Анастасия Мельникова, эксперт по информационной безопасности компании SEC Consult Services. — С их помощью также можно нанести немало вреда, а учитывая публикацию сведений о них, злоумышленники явно бросятся искать системы, остающиеся уязвимыми. Чем меньше времени пройдет до установки всех обновлений, тем меньше у преступников шансов на успех».
Поделиться
Короткая ссылка
