В этом месяце бюллетени распространила не только компания Microsoft, Adobe также выпустила необходимые апдейты для Adobe Reader и Acrobat 9.3.1 для Windows, Mac и Unix, а также обновления для Reader и Acrobat 8.2.1 для Windows и Mac. Обновления позволяют решить различные проблемы, включая нарушение целостности памяти, переполнение буфера и межсайтовый скриптинг.

Adobe также было принято решение об активации нового апдейтера, который будет определять время, когда компьютер не используется, и автоматически устанавливать обновления. Это даст возможность пользователям с легкостью поддерживать продукты Adobe в актуальном состоянии.

Если принять во внимание тот факт, что продукты Adobe используются весьма активно, звучит великолепно, не правда ли? Однако дело обстоит так — Adobe запускает автоматические обновления, но в этом выпуске эта функция активироваться по умолчанию не будет. Это означает, что пользователи смогут получать автоматические обновления только в том случае, если включат апдейтер. Adobe заявляет, что для большинства пользователей это самая лучшая возможность. В настоящее время компания рассматривает варианты для лучшего долгосрочного решения. Одно из возможных решений — на следующем этапе развертывания предлагать пользователям активировать функцию автоматических обновлений с помощью открывающегося диалогового окна.

Как мне кажется, Adobe необходимо серьезно задуматься о безопасности и использовать больше защитных методов в настройках по умолчанию.

Microsoft были выпушены 11 бюллетеней, посвященных 25 уязвимостям в Windows, Microsoft Office и Exchange. Бюллетени этого месяца затрагивают все операционные системы, включая Windows 7. Рейтинги 11 уязвимостей колеблются — 5 из них «критические», 5 — «важные» и одна — «умеренная». В апреле бюллетени касаются критической уязвимости SMB, о которой Microsoft сообщила в ноябре, и уязвимости в VBScript, о которой стало известно в марте этого года.

MS10-019 — закрывает две уязвимости в Windows Authenticode Verification. Эти уязвимости могут позволить хакерам модифицировать исполняемые файлы (PE и CAB), не делая сигнатуру недействительной. Обновление позволяет решить эту проблему с помощью дополнительных операций по верификации при подписывании и верификации PE и CAB-файлов.

MS10-020 — обновление, выпущенное компанией Microsoft для закрытия уязвимости клиента SMB. Обновление актуально для обеих версий клиента (SMBv1 и SMBv2). Клиент SMB используется в основном для предоставления совместного доступа к файлам и принтерам по сети. Эта уязвимость может использоваться для проведения DoS-атаки.

MS10-022 — обновление, закрывающее уязвимость в VBScript, которая может быть использована для удаленного выполнения кода. Заражение возможно при посещении пользователем специально созданной веб-страницы и нажатии клавиши F1. Данное обновление заявлено как важное для пользователей, работающих под Windows 2000, ХР и Server 2003; для работающих под Windows 7, Server 2008 или Server 2008 R2 рейтинг безопасности не заявлен. По сообщению Microsoft, это обновление — мера «глубокой обороны».

MS10-025 — обновление, закрывающее уязвимость, эксплуатируя которую киберпреступник может получить полный контроль над компьютером, изменив режим обработки в Windows Media Unicast Services сетевых пакетов при передаче информации. Следует заметить, что под Windows 2000 Server компонент Windows Media Services является опциональным и по умолчанию не устанавливается.

MS10-026 — обновление, закрывающее уязвимость, связанную с методом обработки аудиопотока MPEG Layer-3 (MP3) в Windows. Используя эту уязвимость, киберпреступник может получить полный контроль над компьютером, если пользователь откроет специально созданный .avi-файл.

MS10-027 — обновление, закрывающее уязвимость в Windows Media Player. Для эксплуатации уязвимости необходимо, чтобы пользователь открыл зараженный веб-сайт и запустил на нем специально созданный медиа-файл.

Информация об остальных обновлениях безопасности и подробные сведения об обновлениях от Microsoft и Adobe доступны здесь: Microsoft Security Bulletin Summery и Adobe Security bulletin.

При установке обновлений помните о том, что они требуют перезагрузки компьютера.

Компания Microsoft выпустила два обновления безопасности, устраняющие 8 уязвимостей в Windows и в продуктах Microsoft Office. Оба обновления имеют статус «важных», т.е. для эксплуатации данных уязвимостей и запуска удаленного кода требуется некоторое участие пользователя.

Примечательно, что оба патча этого месяца закрывают уязвимости, эксплуатация которых предполагает использование методов социальной инженерии без вовлечения сетевых методов атаки. К сожалению, ни в одном из выпущенных обновлений не устраняется уязвимость Advisory 981169 на языке VBScript, относящаяся к Internet Explorer. Эта уязвимость эксплуатируется следующим образом: при посещении специально созданной странички пользователь видит диалоговое окно, где ему предлагается нажать клавишу F1, в результате чего происходит заражение.

Обновление MS10-016 выпущено для Windows XP SP2, SP3, Vista SP1, SP2 и Windows 7 (32- и 64-битной версий). Этот патч закрывает уязвимость в программе Windows Movie Maker версий 2.1 и 6.0, поставляемой в комплекте с Windows XP и Vista. Версия 2.6 программы, доступная в сети для бесплатного скачивания, также уязвима. Пользователям, ранее установившим эту версию программы под любой из поддерживаемых версий Windows, включая Windows 7, предлагается установить обновление безопасности. В случае Windows 7 Movie Maker 2.6 поставляется не всегда; если эта программа у вас отсутствует, уязвимости также нет, и устанавливать обновление не нужно. Пользователи, у которых программа установлена, могут заразиться, открыв специально созданный файл проекта Movie Maker.

MS10-016 также затрагивает Microsoft Producer 2003. Программа доступна для бесплатного скачивания, но имеет, согласно утверждению Microsoft, «ограниченное распространение», поэтому на данный момент компания не предлагает обновление, которое закрыло бы имеющуюся в Microsoft Producer 2003 уязвимость. Мне это кажется странным: почему бы не решить проблему, даже если она касается «ограниченного» числа пользователей? Ведь это не просто ошибка в программе, а уязвимость, из-за которой они подвергаются опасности.

Выпущенное исправление отменяет ассоциацию между типом файла проекта и приложением, что не приводит к окончательному устранению уязвимости. Однако Microsoft утверждает, что это создает дополнительный уровень защиты.

MS10-017 закрывает уязвимости, существующие во многих версиях Microsoft Office как для Windows, так и для Mac. В случае Windows затронуты Office XP, 2003 и 2007, поддерживаемые версии Excel Viewer и SharePoint 2007. В случае Mac затронуты версии 2004 и 2008, а также конвертер Open XML-файлов для Mac. Для эксплуатации данных уязвимостей требуется, чтобы пользователь открыл специально созданный файл.

Как обычно, рекомендую всем скачать и установить обновления безопасности при первой же возможности.