This is a machine translation. The original page (in English) is available here.
Windows
Mac OS
Móvil

Última noticia: 12 de noviembre de 2016 - Hemos encontrado un nuevo indetectable Capturadores de teclado para usted. Feed RSS

Casa>noticias del Mundo>Microsoft se precipita embrague parche para 'profunda' error en Windows, las aplicaciones de terceros

AnyKeylogger para Mac

Microsoft se precipita embrague parche para 'profunda' error en Windows, las aplicaciones de terceros

Las revisiones de emergencia planes de Microsoft para salir corriendo de esta semana va a corregir una falla que corre a través de varios componentes críticos de Windows, y un número desconocido de aplicaciones de terceros, de acuerdo a un par de investigadores de seguridad.

El martes, Microsoft va a dar una palmada a un parche permanente en un streaming de vídeo de control ActiveX utilizado por Internet Explorer (IE), frente a una vulnerabilidad de la que se ha conocido acerca de, pero no se fija, por más de un año. Hace dos semanas, Microsoft emitió un "bit" de actualización que, en lugar de abordar el problema subyacente, deshabilitado el control ActiveX para poner freno a los ataques que ya estaban en curso. También está programada una solución de Visual Studio, Microsoft, la popular plataforma de desarrollo.

Aunque Microsoft no está escrito exactamente lo que el parche con los dos "fuera de banda" actualizaciones -- el plazo para actualizaciones de seguridad publicadas fuera de la empresa, una vez por mes calendario -- a principios de este mes de investigadores de la punta de los dedos en el Active Template Library (ATL), un código de "biblioteca" utilizado no sólo por la propia Microsoft a los desarrolladores, pero también por parte de terceros de los programadores de software para acceder a algunas funciones dentro de Windows.

Dos investigadores alemanes -- Thomas Dullien, el presidente y director de investigación en Zynamics GmbH, y Dennis Elser -- excavado en el error en el control ActiveX, el "msvidctl.dll" archivo, que transmite el contenido de vídeo. Ellos encontraron que surgió a raíz de un simple error de programación en una función llamada "ATL::CComVariant::ReadFromStream."

"En lugar de pasar un puntero a un buffer de datos a IStream::Leer, tomó la dirección de una (pequeña) variable local, y pasa a esta dirección como búfer de salida para IStream::Leer, junto con una longitud de lectura de la secuencia anteriormente", dijo Dullien, que va por el apodo de "Halvar Flake" al escribir acerca de vulnerabilidades de seguridad. "Alguien que claramente se confundió", agregó en una entrada de blog publicada el 9 de julio.

El resultado? Aunque Microsoft apagar los actuales ataques contra el control ActiveX, el error de programación está presente en varios otros archivos de Windows -- al menos cinco en XP, al menos 13 en Vista -- incluyendo las que son cruciales para internet explorer, Windows Media Player y de Servicios de Terminal server.

"El error es en realidad mucho" más profundo "que el de la mayoría de la gente se da cuenta", dijo Dullien, "[y] el bit de cierre de corrección es claramente insuficiente, ya que seguramente habrá muchas otras maneras de desencadenar el problema."

Además, dijo Dullien y Elser, los desarrolladores de terceros pueden haber utilizado el mismo defectuosa de la biblioteca para crear sus propias aplicaciones. "El error podría haber weaseled su camino en los componentes de terceros, si alguien fuera de Microsoft tenido acceso a los quebrantados de ATL versiones", dijo Dullien. "Si esto ha sucedido, Microsoft podría tener introdujo accidentalmente vulnerabilidades de seguridad en los productos de terceros." Dullien afirmó que las versiones anteriores de Adobe Flash contenía la vulnerabilidad.

En un seguimiento de la entrada de blog el viernes, Dullien especulado que el martes a las revisiones "parche de un montón de bibliotecas (el ATL ?) en Visual Studio" así como el ActiveX "msvidctl.dll" archivo utilizado por el IE.

Añadir el combustible para que la especulación, Brian Krebs, de la Washington Post citó Dullien la semana pasada diciendo que Microsoft había llamado y le pidió no hacer más comentarios sobre la vulnerabilidad.

Ni Dullien o Elser respondió a solicitudes de comentarios en domingo.

Otros investigadores de seguridad, ya sea negó a comentar o asumido Dullien está en el camino correcto.

"Yo no creo que pueda comentar específicamente, pero estoy preparado para decir que cada vez que Microsoft se toma la molestia de hacer un fuera-de-banda [update], la gente probablemente debería prestar atención, y que parche tan pronto como sea posible," dijo Roger Thompson, director de investigación en seguridad proveedor de software de AVG Technologies, a través de la mensajería instantánea en sábado. Hace dos semanas, Thompson, advirtió que el ActiveX vulnerabilidad fue un excelente candidato para otro Conficker escala de ataque.

"Si lo que [Dullien] dijo en su blog es ni remotamente lo correcto, y si su llamada de Microsoft es creíble, a continuación, los consumidores y los socios de Microsoft tienen un gran trabajo por delante", advirtió Andrew Storms, director de operaciones de seguridad en nCircle la Seguridad de la Red, en un e-mail el domingo.

Llamar a la fuera-de-banda actualizaciones de un "stand-up-y-de pago-atención de momento," las Tormentas también se recomienda que las empresas de la prueba de los parches a fondo antes de que sean desplegados. "Las empresas lo desea, puede esperar unos días y ver si sus otros proveedores de software tienen que decir", instó. "La razón de la extra de precaución? Parece que algunas empresas pueden ser el uso de la malograda Microsoft función y cuando parcheado, [que] puede causar algunas consecuencias inesperadas."

Las tormentas ofreció otra razón por la que Microsoft martes de parches. "Muchos de los mismos profesionales de la seguridad será en las Vegas para los de Sombrero Negro, que en sí mismo puede tener saltar-comenzó a Microsoft de emergencia del parche de liberación", dijo. Black Hat, que se inició el sábado, se ejecuta a través de jueves. Dullien, como Halvar Flake, estaba programado para llevar a cabo una sesión de entrenamiento en Black Hat, de acuerdo a la conferencia de la programación.

Thompson secundada Tormentas. "Creo que la próxima gran cosa para ver, es ver lo que sale en la Black Hat", dijo. "Yo realmente no conozco de nada, pero estoy bastante seguro de que los hackers son piratería".

"Más que venir el martes cuando lleguemos a los parches, obviamente," la conclusión de las Tormentas.

Microsoft publicará el fuera-de-banda actualizaciones martes, 28 de julio, a través de su habitual Windows Update y Windows Server Update Services (WSUS) mecanismos. Si se libera en el mismo horario como su actualización mensual, deben estar disponibles alrededor de la 1 p. m. ET.

Más tarde en el día, tanto a las 4 pm y 7 pm ET -- Microsoft será el anfitrión de un webcast para tomar las preguntas de los clientes. Normalmente, Microsoft hosts, webcasts el día después de la entrega de los parches.
Casa>noticias del Mundo>Microsoft se precipita embrague parche para 'profunda' error en Windows, las aplicaciones de terceros
IMPORTANTE! Instalación de equipo de monitoreo de herramientas en los equipos que no posean o no tienes permiso para monitor puede violar locales, estatales o federales.
Suggest translation