Les correctifs Microsoft flopée de "drive-by attaque" bugs
Microsoft a livré aujourd'hui cinq mises à jour de sécurité patché huit vulnérabilités dans Windows, y compris un dans le moteur JavaScript qui est livré avec chaque version prise en charge de la société système d'exploitation.
Les autres défauts se situent dans une paire de Windows Media Player formats de fichier; en Windows de mise en œuvre de TCP/IP, le site Web par défaut de la suite de protocoles de connexion; et dans le système d'exploitation de réseau sans fil automatique-configuration de service.
"Le brouillard de la semaine dernière a été éliminé, mais ce que nous voyons aujourd'hui est un beaucoup de bugs liés à Internet Explorer qui ont été étiquetés comme les vulnérabilités de Windows avant," a dit Andrew Tempêtes, directeur des opérations de sécurité à nCircle la Sécurité du Réseau. Les tempêtes faisait référence à Microsoft de notification préalable jeudi dernier, lorsque la société n'est divulgué qu'il allait publier des mises à jour pour Windows.
Trois des mises à jour, dit Tempêtes -- MS09-045, MS09-046 et MS-09-047-en fait, sont mieux classés comme Internet Explorer (IE) questions parce que les pirates exploitent les mises à jour " quatre bogues via IE. "Ceux qui sont le gros problème de ce mois", a soutenu Tempêtes", parce qu'elles touchent à-dire lorsque l'utilisateur est en train de faire la chose de normal sur l'ordinateur ... en surfant sur Internet."
MS09-045 mises à jour de Windows JavaScript/JScript moteur d'analyse de paralyser "drive-by" les attaques des pirates informatiques peuvent artisanat simplement par l'injection de script malveillant dans une page Web.
"Dans la plupart des cas, un utilisateur malveillant peut facilement abuser de ce défaut, simplement par le fait de contraindre un utilisateur de Windows d'afficher un site Web malveillant," dit Derek Brown, un chercheur en sécurité avec 3Com TippingPoint DVLabs. TippingPoint est Zero Day Initiative, l'un des deux bug bounty programmes dans l'existence, a été crédité par Microsoft à la déclaration du vice.
Brown dit que les utilisateurs doivent s'attendre à des exploits de l'JavaScript/JScript vulnérabilité peu de temps. "En raison de la généralisation de la distribution du moteur d'analyse et la relative facilité dans la rédaction d'un exploit, [les utilisateurs doivent] s'appliquer immédiatement le correctif," il a dit dans un e-mail. Microsoft a classé les bug comme un "1" sur son accompagnement de l'indice d'exploitabilité, ce qui signifie que "conformément possibilité de code d'exploitation [est] susceptible."
Chaque actuellement pris en charge la version de Windows contient la faille. Seulement Windows 7 et Windows Server 2008 R2 -- ni de qui ont été officiellement libérés, sont à l'abri, a déclaré Microsoft.
Mais alors que les Tempêtes instamment demandé aux utilisateurs de hiérarchiser l'IE des bogues, il avait peur que des conseils risquent de se perdre dans l'attention portée à MS09-048, les mises à jour de Windows pile TCP/IP. "Je pense que beaucoup de gens vont se concentrer sur le protocole TCP/IP de problème, parce qu'il a été un certain temps puisque nous avons vu un problème avec la pile IP," dit-il.
Ce ne serait pas intelligent. "D'exploiter ce sera très difficile," Tempêtes prévues. Microsoft a accepté, en disant que MS09-048 du trois vulnérabilités pourraient être difficiles à exploiter dans les 30 prochains jours en leur assignant comme un "2" (possibilité de code d'exploitation probable) ou un "3" (conforme possibilité de code d'exploitation est peu probable) dans son index.
Il est plus probable que les pirates de l'artisanat des attaques dans les deux vulnérabilités dans MS09-047: Microsoft classé à la fois comme "1" dans l'indice d'exploitabilité. "Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur ouvrait un spécialement conçu [Windows] du fichier multimédia," Microsoft a déclaré dans l'accompagnement consultatif.
Les deux imparfait formats de fichier Advanced Systems Format (ASF) et MPEG-1 Audio Layer 3 (MP3).
Dans MS09-046, Microsoft a corrigé une faille dans le Composant d'Édition DHTML contrôle ActiveX), utilisé par IE à l'appui de HTML dynamique d'édition de contenu-qui pourrait être déclenchée par un site malveillant dans un drive-by attaque.
La cinquième mise à jour, MS09-049 les patchs une vulnérabilité critique dans Windows réseau sans-fil automatique-configuration de service.
"L'Auto-configuration des outils se prêtent à tous les mécréants", a déclaré Tempêtes.
Comme prévu, Microsoft n'a pas de patch, qui a récemment révélé la vulnérabilité populaire Internet Information Services (IIS) Web server. Les tempêtes et d'autres experts de la sécurité, a déclaré la semaine dernière qu'il serait très peu probable que Microsoft serait en mesure de concevoir et de tester un correctif pour la faille dans le temps disponible. Cependant, Microsoft a promis de patch IIS à un certain point.
Il n'y avait un correctif pour le "Écran Bleu de la Mort" la vulnérabilité d'un hacker révélée publiquement que tard hier.
En septembre, les mises à jour peuvent être téléchargées et installées par l'intermédiaire de Microsoft Update et Windows Update services, ainsi que par le biais de Windows Server Update Services.
Date de publication: Les autres défauts se situent dans une paire de Windows Media Player formats de fichier; en Windows de mise en œuvre de TCP/IP, le site Web par défaut de la suite de protocoles de connexion; et dans le système d'exploitation de réseau sans fil automatique-configuration de service.
"Le brouillard de la semaine dernière a été éliminé, mais ce que nous voyons aujourd'hui est un beaucoup de bugs liés à Internet Explorer qui ont été étiquetés comme les vulnérabilités de Windows avant," a dit Andrew Tempêtes, directeur des opérations de sécurité à nCircle la Sécurité du Réseau. Les tempêtes faisait référence à Microsoft de notification préalable jeudi dernier, lorsque la société n'est divulgué qu'il allait publier des mises à jour pour Windows.
Trois des mises à jour, dit Tempêtes -- MS09-045, MS09-046 et MS-09-047-en fait, sont mieux classés comme Internet Explorer (IE) questions parce que les pirates exploitent les mises à jour " quatre bogues via IE. "Ceux qui sont le gros problème de ce mois", a soutenu Tempêtes", parce qu'elles touchent à-dire lorsque l'utilisateur est en train de faire la chose de normal sur l'ordinateur ... en surfant sur Internet."
MS09-045 mises à jour de Windows JavaScript/JScript moteur d'analyse de paralyser "drive-by" les attaques des pirates informatiques peuvent artisanat simplement par l'injection de script malveillant dans une page Web.
"Dans la plupart des cas, un utilisateur malveillant peut facilement abuser de ce défaut, simplement par le fait de contraindre un utilisateur de Windows d'afficher un site Web malveillant," dit Derek Brown, un chercheur en sécurité avec 3Com TippingPoint DVLabs. TippingPoint est Zero Day Initiative, l'un des deux bug bounty programmes dans l'existence, a été crédité par Microsoft à la déclaration du vice.
Brown dit que les utilisateurs doivent s'attendre à des exploits de l'JavaScript/JScript vulnérabilité peu de temps. "En raison de la généralisation de la distribution du moteur d'analyse et la relative facilité dans la rédaction d'un exploit, [les utilisateurs doivent] s'appliquer immédiatement le correctif," il a dit dans un e-mail. Microsoft a classé les bug comme un "1" sur son accompagnement de l'indice d'exploitabilité, ce qui signifie que "conformément possibilité de code d'exploitation [est] susceptible."
Chaque actuellement pris en charge la version de Windows contient la faille. Seulement Windows 7 et Windows Server 2008 R2 -- ni de qui ont été officiellement libérés, sont à l'abri, a déclaré Microsoft.
Mais alors que les Tempêtes instamment demandé aux utilisateurs de hiérarchiser l'IE des bogues, il avait peur que des conseils risquent de se perdre dans l'attention portée à MS09-048, les mises à jour de Windows pile TCP/IP. "Je pense que beaucoup de gens vont se concentrer sur le protocole TCP/IP de problème, parce qu'il a été un certain temps puisque nous avons vu un problème avec la pile IP," dit-il.
Ce ne serait pas intelligent. "D'exploiter ce sera très difficile," Tempêtes prévues. Microsoft a accepté, en disant que MS09-048 du trois vulnérabilités pourraient être difficiles à exploiter dans les 30 prochains jours en leur assignant comme un "2" (possibilité de code d'exploitation probable) ou un "3" (conforme possibilité de code d'exploitation est peu probable) dans son index.
Il est plus probable que les pirates de l'artisanat des attaques dans les deux vulnérabilités dans MS09-047: Microsoft classé à la fois comme "1" dans l'indice d'exploitabilité. "Cette vulnérabilité pourrait permettre l'exécution de code à distance si un utilisateur ouvrait un spécialement conçu [Windows] du fichier multimédia," Microsoft a déclaré dans l'accompagnement consultatif.
Les deux imparfait formats de fichier Advanced Systems Format (ASF) et MPEG-1 Audio Layer 3 (MP3).
Dans MS09-046, Microsoft a corrigé une faille dans le Composant d'Édition DHTML contrôle ActiveX), utilisé par IE à l'appui de HTML dynamique d'édition de contenu-qui pourrait être déclenchée par un site malveillant dans un drive-by attaque.
La cinquième mise à jour, MS09-049 les patchs une vulnérabilité critique dans Windows réseau sans-fil automatique-configuration de service.
"L'Auto-configuration des outils se prêtent à tous les mécréants", a déclaré Tempêtes.
Comme prévu, Microsoft n'a pas de patch, qui a récemment révélé la vulnérabilité populaire Internet Information Services (IIS) Web server. Les tempêtes et d'autres experts de la sécurité, a déclaré la semaine dernière qu'il serait très peu probable que Microsoft serait en mesure de concevoir et de tester un correctif pour la faille dans le temps disponible. Cependant, Microsoft a promis de patch IIS à un certain point.
Il n'y avait un correctif pour le "Écran Bleu de la Mort" la vulnérabilité d'un hacker révélée publiquement que tard hier.
En septembre, les mises à jour peuvent être téléchargées et installées par l'intermédiaire de Microsoft Update et Windows Update services, ainsi que par le biais de Windows Server Update Services.
Auteur: Keylogger.Org L'Équipe
