Летнее обновление от Microsoft

Обновления безопасности, выпущенные Microsoft, устраняют уязвимости высокого риска в Windows и некоторых приложениях.

Не каждый месяц вторнику исправления ошибок Microsoft предшествует столько ожиданий, сколько мы испытывали в последние недели. Конечно, это не совпадение, поскольку нетерпение и любопытство к июльским исправлениям ошибок растут. Причина проста: Microsoft недавно признала существование двух серьезных уязвимостей (связанных с DirectX и Internet Explorer), которые в последнее время злоумышленники начали использовать все более интенсивно. Между тем, в отсутствие надлежащих обновлений пользователи могли только предпринимать шаги по снижению риска для защиты своих систем. Ожидания исправлений во вторник были еще более усилены тем фактом, что Microsoft знала об одной из уязвимостей еще с весны 2008 года, хотя, по имеющейся на данный момент информации, злоумышленники «только» начали эксплуатировать эту дыру в безопасности в этом месяце.

Из шести бюллетеней по безопасности, выпущенных Microsoft, три были оценены как критические, а три других - как важные. Первые все принадлежат Windows, а вторые предоставляют информацию об уязвимостях, обнаруженных в приложениях Publisher, Internet Security and Acceleration Server (ISA), Virtual PC и Virtual Server, а также предоставляют исправления.

Бюллетени по безопасности Microsoft за июль включают:

MS09-028 - Критическое
В этом выпуске Microsoft сообщила об уязвимости DirectX, обнаруженной несколько недель назад. Проблема решается в компоненте DirectShow, который может способствовать возникновению проблем с безопасностью, когда пользователь открывает специально созданный мультимедийный файл QuickTime, созданный для злонамеренных целей. Это позволяет злоумышленникам удаленно запускать вредоносный код и получать полный контроль над уязвимыми системами, в первую очередь из-за уязвимостей управления памятью. Уязвимости затрагивают DirectX 7.0, DirectX 8.1 и DirectX 9.0.

MS09-029 - Критическое
Этот бюллетень содержит информацию о критической уязвимости в компоненте Windows. Уязвимость влияет на обработку EOT (Embedded OpenType) и может быть использована с помощью специально созданных шрифтов, встроенных в документы. Если злоумышленник добьется успеха, уязвимость, которая может быть связана с уязвимостью переполнения буфера, может позволить вредоносному коду работать в уязвимых системах. Также требуется обновление для Windows 2000, Windows XP, Windows Vista, Windows Server 2003 и Windows Server 2008.

MS09-030 - Важно
Office Publisher содержит уязвимость, которая делает возможным несанкционированное удаленное выполнение вредоносного кода. Проблема безопасности может возникнуть при открытии, импорте или преобразовании специально созданных файлов Publisher, если только файл не открывается с помощью версии Office Publisher 2007, а документ создается с помощью одной из версий издателя, предшествующих выпуску 2007 года. Злоумышленники могут отправлять вредоносные файлы на выбранные компьютеры в виде вложений электронной почты или через веб-сайты. Если им удастся убедить пользователя открыть файл, они смогут получить полный контроль над затронутыми системами.

MS09-031 - Важно
Уязвимость, обнаруженная в Microsoft ISA Server 2006, может быть источником проблем с управлением авторизацией. Если на уязвимом веб-сервере также включена проверка подлинности Radius OTP, посторонние лица могут использовать уязвимость для доступа к веб-ресурсам. Если злоумышленник знает имя пользователя учетной записи администратора, он может даже получить контроль над системами.

MS09-032 - Критическое
В объявлении сообщается о серьезной уязвимости в элементе управления Microsoft Video ActiveX. Дыра в безопасности представляет опасность, если пользователь отображает веб-сайт, специально отредактированный злоумышленниками, с помощью Internet Explorer. В этом случае у создателей вредоносного сайта может появиться возможность удаленного запуска вредоносных кодов без авторизации. Уязвимость может нанести наибольший ущерб, если пользователь использует свой компьютер с правами администратора. Исправление, связанное с объявлением, пытается устранить проблему с помощью настройки «бита уничтожения». Эта ошибка также затрагивает Windows 2000, Windows XP, Windows Vista, Windows Server 2003 и Windows Server 2008.

MS09-033 - Важно
Согласно Microsoft, продукты Virtual PC и Virtual Server содержат уязвимость, которая может быть отнесена к уязвимостям управления авторизацией. Уязвимость может позволить злоумышленнику запустить произвольный код на уязвимых хост-системах и получить контроль над ними, получив повышенные привилегии. Уязвимость может быть связана с некорректной обработкой инструкций в мониторе виртуальной машины. Уязвимость также затрагивает Virtual PC 2004, Virtual PC 2007 и Virtual Server 2005 R2.

Июльские исправления ошибок Microsoft можно установить с помощью автоматических обновлений или загрузить с веб-сайта компании.