Комплексное сентябрьское обновление содержит большие исправления для Windows, браузера и средств разработки


Снова в школу, снова на работу … а теперь снова на обновления Microsoft. Я надеюсь, что вы немного отдохнули этим летом, поскольку мы видим постоянно растущее число и разнообразие уязвимостей и соответствующих обновлений, охватывающих все платформы Windows (настольные и серверные), Microsoft Office и расширяющийся набор исправлений для инструментов разработки Microsoft.

Этот сентябрьский цикл обновлений приносит две уязвимости нулевого дня и три опубликованных уязвимости в платформе Windows. Эти два нулевых дня ((CVE-2019-2014 и CVE-2019-1215) содержали достоверные сообщения об эксплойтах, которые могут привести к выполнению произвольного кода на целевой машине. Как обновления браузера, так и обновления Windows требуют немедленного внимания, и ваша группа разработчиков должна будет Потратьте некоторое время с последними исправлениями для .NET и .NET Core.

Единственная хорошая новость в том, что с каждым последующим выпуском Windows Microsoft, похоже, испытывает все меньше серьезных проблем с безопасностью. В настоящее время есть хороший случай, чтобы идти в ногу с быстрым циклом обновления и оставаться с Microsoft на более поздних версиях, с более старыми выпусками увеличивая риск безопасности (и контроль изменений). Мы включили расширенную инфографику, подробно описывающую «угрозу ландшафта» Microsoft Patch Tuesday за сентябрь этого года, которую можно найти здесь.

Известные проблемы

С каждым обновлением, которое выпускает Microsoft, как правило, возникают некоторые проблемы, возникающие при тестировании. В этом сентябрьском выпуске, а именно в сборках Windows 10 1803 (и более ранних), были подняты следующие проблемы:

  • 4516058: Windows 10, версия 1803, Windows Server версия 1803 — Microsoft в своих последних заметках о выпуске заявляет, что «Некоторые операции, например переименование, выполняемые с файлами или папками на общем томе кластера (CSV), могут завершиться с ошибкой ошибка «STATUS_BAD_IMPERSONATION_LEVEL (0xC00000A5)». Эта проблема, по-видимому, возникает у большого числа клиентов, и похоже, что Microsoft серьезно относится к этой проблеме и изучает ее. Ожидайте выхода обновлений вне этой проблемы, если сообщается Уязвимость сопряжена с этой проблемой.
  • 4516065: Windows 7 с пакетом обновления 1 (SP1), Windows Server 2008 R2 с пакетом обновления 1 (ежемесячный накопительный пакет) VBScript в Internet Explorer 11 должен быть отключен по умолчанию после установки KB4507437 (предварительный просмотр ежемесячного накопительного пакета) или KB4511872 (накопительное обновление Internet Explorer) и более поздних версий. Однако в некоторых случаях VBScript может быть отключен не так, как предполагалось. Это продолжение последнего исправления безопасности, выпущенного в июле (исправление во вторник). Я думаю, что ключевой вопрос здесь состоит в том, чтобы гарантировать, что VBScript действительно отключен для IE11. Теперь, когда Adobe Flash пропал, мы можем начать работу по удалению VBScript из наших систем.
  • Сведения о выпуске Windows 10 1903. Обновления могут не быть установлены, и вы можете получить сообщение об ошибке 0x80073701. Установка обновлений может завершиться неудачно, и вы можете получить сообщение об ошибке «Не удалось выполнить обновление, возникли проблемы с установкой некоторых обновлений, но мы попробуем позже» или «Ошибка 0x80073701» в диалоговом окне Центра обновления Windows или в истории обновлений. Microsoft сообщила, что эти проблемы, как ожидается, будут решены либо в следующем выпуске, либо, возможно, в конце месяца.

Основные изменения

Был опубликован ряд недавно опубликованных исправлений цикла обновлений сентябрьского исправления во вторник, включая:

  • CVE-2018-15664: уязвимость Docker, приводящая к несанкционированному получению прав. Microsoft выпустила обновленную версию кода AKS, которую можно найти здесь.
  • CVE-2018-8269: Уязвимость библиотеки OData. Microsoft обновила эту проблему, включая NET Core 2.1 и 2.1, в список уязвимых продуктов.
  • CVE-2019-1183: Уязвимость в Windows VBScript Engine, делающая возможным удаленное выполнение кода. Microsoft выпустила информацию о том, что эта уязвимость полностью устранена с помощью других связанных обновлений для механизма VBScript. В этом редком примере дальнейших действий не требуется, и это изменение / обновление больше не требуется. Вы можете обнаружить, что указанная ссылка больше не работает, в зависимости от вашего региона.

Браузеры

Microsoft работает над устранением восьми критических обновлений, которые могут привести к сценарию удаленного выполнения кода. Появляется шаблон с повторяющимся набором проблем безопасности, возникающих в отношении следующих функциональных кластеров браузера:

Авторское право © 2019 IDG Communications, Inc.

Добавить комментарий

Ваш e-mail не будет опубликован. Обязательные поля помечены *