- Redmondas amatpersonas risināja daudzas problēmas ar šī mēneša izlaišanu, vairāk nekā gaidīts.
- Ievainojamība, kas ietekmē Microsoft Exchange Server, tika uzskatīta par kritisku.
- Par kritisku tika uzskatīts arī galvenais ievainojamība, kas faktiski tika atrasta programmā Microsoft Excel.
- Šajā rakstā ir ietverts pilns to drošības atjauninājumu saraksts, kas tika izdoti 2021. gada novembrī.
Jā, atkal ir šis mēneša laiks, un Microsoft ir izlaidusi 55 drošības labojumus, tostarp ielāpus, kas novērš nulles dienas ievainojamības, kas tiek aktīvi izmantotas savvaļā.
Tehnoloģiju giganta jaunākajā ielāpu kārtā ir labojumi sešām kritiskajām ievainojamībām, 15 tālvadības koda izpildes (RCE) kļūdām, informācijas noplūde un privilēģiju drošības trūkumu palielināšanās, kā arī problēmas, kas var izraisīt viltošanu un iejaukšanos.
Microsoft Azure, pārlūkprogramma Edge, kuras pamatā ir Chromium, Microsoft Office un ar to saistītie produkti, Visual Studio, Exchange Server, Windows kodols un Windows Defender ir daži no produktiem, kuru mērķauditorija ir ielāpus.
Tika novērstas piecpadsmit attālās koda izpildes kļūdas
Vēl viens aizņemts mēnesis Redmond programmētājiem un izstrādātājiem, jo viņi turpina cīnīties ar vecām un pastāvīgi jaunām problēmām.
Lai gan dažos jautājumos bija nepieciešami tikai nelieli uzlabojumi, citi bija ārkārtīgi svarīgi, un tehnoloģiju uzņēmums pret tiem attiecās.
Dažas no interesantākajām šajā atjauninājumā novērstajām ievainojamībām, kuras visas tiek uzskatītas par svarīgām, ir:
- CVE-2021-42321: (CVSS: 3,1 8,8 / 7,7). Aktīvās izmantošanas laikā šī ievainojamība ietekmē Microsoft Exchange Server un nepareizas cmdlet argumentu validācijas dēļ var izraisīt RCE. Tomēr uzbrucējiem ir jābūt autentificētiem.
- CVE-2021-42292: (CVSS: 3,1 7,8 / 7,0). Šī ievainojamība tika konstatēta arī kā savvaļā izmantota, un tā tika atrasta programmā Microsoft Excel, un to var izmantot, lai apietu drošības kontroles. Microsoft saka, ka priekšskatījuma rūts nav uzbrukuma vektors. Patlaban nav pieejams neviens ielāps programmai Microsoft Office 2019 for Mac vai Microsoft Office LTSC for Mac 2021.
- CVE-2021-43209: (CVSS: 3,1 7,8 / 6,8). 3D skatītāja ievainojamība ir publiskota, un šo kļūdu var izmantot lokāli, lai aktivizētu RCE.
- CVE-2021-43208: (CVSS: 3,1 7,8 / 6,8). Vēl viena zināma problēma — šo 3D skatītāja drošības trūkumu koda izpildes nolūkos var arī izmantot vietējais uzbrucējs.
- CVE-2021-38631: (CVSS: 3,0 4,4 / 3,9). Arī šis drošības trūkums, kas atrodams Windows attālās darbvirsmas protokolā (RDP), var tikt izmantots informācijas izpaušanai.
- CVE-2021-41371: (CVSS: 3,1 4,4 / 3,9). Visbeidzot, šo LAP ievainojamību, kas bija zināma pirms ielāpu pieejamības, var izmantot arī lokāli, lai piespiestu informācijas noplūdi.
Šis ir salīdzinoši neliels ievainojamību skaits, kas novērstas novembrī, salīdzinot šo laidienu ar iepriekšējo gadu laidienu.
Pagājušajā mēnesī, Microsoft atrisināja 71 kļūdu, tāpēc mēs varam uzskatīt, ka šis periods ir diezgan kluss. Īpaši jāatzīmē ielāpi kopumā četriem nulles dienas trūkumiem, no kuriem viens tika aktīvi izmantots savvaļā, bet trīs tika publiskoti.
Ja atgriežamies pagātnē, Microsoft septembra ielāpu otrdienas laikā novērsa vairāk nekā 60 ievainojamības. Starp ielāpiem bija RCE labojums MSHTML.
Un neaizmirsīsim, ka līdzās Microsoft ielāpu otrdienas programmatūras izlaišanai ir arī citi uzņēmumi, kas ir publicējuši arī drošības atjauninājumus, piemēram:
- Adobe drošības atjauninājumi
- SAP drošības atjauninājumi
- VMWare drošības ieteikumi
- Intel drošības atjauninājumi
Vai esat cīnījies ar kādu no šajā rakstā minētajām kļūdām un kļūdām? Paziņojiet mums tālāk komentāru sadaļā.
