Hlavní navigace

Opravy Microsoftu: První kritická chyba v Internet Exploreru 9

Celá řada opravených zranitelností v MSIE umožňuje zneužití už při návštěvě podvodného webu. Experti doporučují urychleně nasadit také záplatu pro Excel.
Pavel Houser 15. 6. 2011

Sdílet

Jak již bylo oznámeno, Microsoft včera opravil 34 zranitelností, z nichž 15 firma označila za kritické. Pokud opravy přepočítáme na aktualizace a odpovídající bulletiny zabezpečení, pak jde o 16 balíčků, z nichž kritických je 9.

Viz také: Microsoft zítra opraví 34 zranitelností

 

Microsoft sám doporučuje uživatelům (respektive správcům IT, uživatelům se většinou vše vyřeší automaticky), aby urychleně nasadili především záplaty MS11-050, MS11-052, MS11-043 a MS11-042 (v uvedeném pořadí).

Podle Microsoftu i nezávislých expertů na americkém Computerworldu je z toho jasně nejdůležitější balíček MS11-50, který opravuje řadu kritických zranitelností v Internet Exploreru. Současně se přitom jedná o první kritickou opravu pro MSIE 9. Andrew Storms z firmy nCircle Network Security spekuluje o tom, že Microsoft mohl o této zranitelnosti vědět už v době, kdy byla v březnu uvolněna finální verze Internet Exploreru 9 (nebo krátce poté – Microsoftu obvykle trvá testování záplat údajně něco přes 2 měsíce). Celá řada opravených zranitelností v MSIE umožňuje zneužití už při návštěvě podvodného webu (útok drive-by download).

Oprava MS11-052 se týká také Internet Exploreru, ačkoliv Microsoft ji označuje za chybu Windows (přičemž Internet Explorer je vektor zneužití, MSIE 9 ovšem takto podvodníci použít nemohou; útok nelze provést ani přes ostatní prohlížeče, takže kde je vlastně zranitelnost je spíše akademická otázka).

Opravy MS11-043 a MS11-042 se týkají zpracování protokolu SMB (Server Message Block) ve Windows; s tímto typem zranitelností Microsoft zápasí již delší dobu. Příslušný typ komunikace se ovšem obvykle blokuje na firewallech, takže reálné zneužití je obtížné, alespoň tedy v podobě akce přicházející zvenku firemní sítě. Aktualizace MS11-042 je opravou služby DFS (distributed file service), která administrátorům umožňuje sdružovat sdílené složky fyzicky lokalizované na různých serverech.

Kromě pořadí závažnosti oprav podle Microsoftu upozorňují další názory ale i na nebezpečnost chyb záplatovaných balíčkem MS11-045, který se týká Excelu. Microsoft tuto chybu nehodnotí jako kritickou, protože útočník musí oběť přimět, aby podvodný soubor XLS otevřela, to však na druhé straně nebude v řadě případů přílišný problém – stačí začít rozesílat e-mailem. Větší množství problémů se týká starších verzí Excelu, novější MS Office jsou tedy, zdá se, opravdu bezpečnější.

Další záplaty jsou určeny pro Forefront, rozhraní .Net a Silverlight.