Microsoft и Adobe выпустили набор обновлений, январь 2014

Microsoft выпустила серию обновлений для своих продуктов, которые закрывают 6 уникальных уязвимостей (4 исправления со статусом Important). Это первый patch tuesday в этом году и мы называем его «light patch tuesday», поскольку он не содержит ни одного критического обновления и ни одного обновления для браузера Internet Explorer. Детальный отчет о закрываемых уязвимостях, компонентах продуктов и их версий можно найти на соответствующей странице security bulletins ^[1]. Исправления ориентированы на операционную систему, Office и ПО Microsoft Dynamics AX. Для применения обновлений нужна перезагрузка.

Обновление MS14-002 ^[2] закрывает известную с прошлого года (SA 2914486 ^[3]) LPE уязвимость CVE-2013-5065 в версии драйвера ndproxy.sys, который поставляется в составе Windows XP и Windows Server 2003. Атакующие использовали ^[4] специальным образом сформированный запрос к драйверу через интерфейс IOCTL для исполнения своего кода в режиме ядра (user-mode restrictions escape). Для доставки этого эксплойта использовался специальный PDF-документ, который эксплуатирует уязвимость в устаревшей версии Adobe Reader и используется для преодоления ограничений sandboxing (Adobe Reader sandbox bypass). Вредоносный документ с эксплойтом обнаруживается ESET как PDF/Exploit.CVE-2013-5065.A.

Обновление MS14-001 ^[5] закрывает три уязвимости во всех версиях Microsoft Word 2003-2007-2010-2013-2013 RT. Исправляемые уязвимости CVE-2014-0258, CVE-2014-0259, CVE-2014-0260 относятся к типу Remote Code Execution (memory-corruption) и могут использоваться для удаленного исполнения кода через специальным образом сформированный .doc файл. Exploit code likely.

Обновление MS14-003 ^[6] исправляет уязвимость CVE-2014-0262 в драйвере win32k.sys на Windows 7 и Windows Server 2008. Уязвимость относится к типу Elevation Of Privelege и может быть использована атакующими для повышения своих прав до уровня системы (исполнение кода в режиме ядра). Exploit code likely.

Обновление MS14-004 ^[7] исправляет уязвимость в CVE-2014-0261 в Microsoft Dynamics AX. Уязвимость относится к типу Denial of Service. Exploit code unlikely.

1 – Exploit code likely
Вероятность эксплуатирования уязвимости очень высока, злоумышленники могут использовать эксплойт, например, для удаленного выполнения кода.

2 – Exploit code would be difficult to build
Вероятность эксплуатирования средняя, поскольку злоумышленники вряд ли смогут добиться ситуации устойчивого эксплуатирования, а также в силу технической особенности уязвимости и сложности разработки эксплойта.

3 – Exploit code unlikely
Вероятность эксплуатирования минимальная и злоумышленники вряд ли смогут разработать успешно работающий код и воспользоваться этой уязвимостью для проведения атаки.

Мы рекомендуем нашим пользователям установить обновления как можно скорее и, если вы еще этого не сделали, включить автоматическую доставку обновлений с использованием Windows Update (по-умолчанию такая возможность включена).

Компания Adobe также обновила ^[8] свои продукты, вышли новые версии Adobe Flash Player, Adobe Reader и Acrobat.

Актуальные версии Adobe Reader и Acrobat приведены ниже. Компания закрыла три уязвимости CVE-2014-0493 (memory-corruption), CVE-2014-0495 (memory-corruption), CVE-2014-0496 (use-after-free). Все они могут быть использованы для исполнения произвольного кода в системе через специальным образом подготовленный PDF-файл.

В случае с проигрывателем Flash Player, компания исправила две уязвимости CVE-2014-0491 и CVE-2014-0492. Актуальные версии приведены ниже.

Мы рекомендуем пользователям воспользоваться проверкой используемой вашим браузером версии Flash Player, для этого можно воспользоваться офиц. источником Adobe здесь ^[9] или здесь ^[10]. Заметьте, что такие браузеры как Google Chrome и Internet Explorer 10+ автоматически обновляются с выходом новой версии Flash Player. Вы можете получить информацию по обновлению Flash для вашего браузера по этой ссылке ^[11].

be secure.

Автор: esetnod32

Источник ^[12]