Microsoft wydał biuletyny zabezpieczeń, zalecamy aktualizację

Wczoraj obchodziliśmy Dzień Bezpiecznego Internetu. Jednym z aspektów zapewnienia sobie bezpiecznej pracy (ale i nie tylko) przy komputerze są regularne aktualizacje – żadne oprogramowanie nie jest bowiem idealne, żadne nie zagwarantuje nam pełnej ochrony i deweloperzy nigdy nie powiedzą, że w ich aplikacjach nie ma dziur. Jak co miesiąc, także i w lutym Microsoft opublikował swoje biuletyny zabezpieczeń. W tym miesiącu jest ich 13, niemal połowa została natomiast oznaczona jako poprawki krytyczne dla bezpieczeństwa systemu. Jeżeli korzystamy z automatycznych aktualizacji, zostaną one pobrane w tle. W przeciwnym wypadku powinniśmy jak najszybciej zainstalować wydane biuletyny. Mogą co prawda przenosić to, czego byśmy się nie spodziewali, ale ich główne zadanie jest jasne i nie podlega dyskusji.

Microsoft załatał dziurawy tryb przeglądania prywatnego w przeglądarce Edge i inne podatności jakie znaleziono w systemach Windows.

W tym miesiącu poprawki dotyczą wszystkich wciąż wspieranych systemów, czyli od Windows Vista aż po Windows 10 wraz ze wszystkimi odmianami serwerowymi. Oprócz tego korporacja wydała poprawki dla pakietu Microsoft Office w wersji 2007 i nowszych, także dla systemu OS X. Pierwsza krytyczna paczka to MS16-009, zbiorcza poprawka dla przeglądarki Internet Explorer. Dziury w niej znalezione umożliwiały wykonanie nieautoryzowanego kodu za pośrednictwem spreparowanej witryny i przejęcie kontroli nad komputerem. Podobna paczka dotyczy przeglądarki Microsoft Edge i została oznaczona numerem MS16-011. W tym przypadku naprawiono także obsługę odpowiedzi HTTP, przechowywanie obiektów w pamięci i zabezpieczenia oferowane przez mechanizm ASLR. Paczka poprawia też „nieszczelny” tryb przeglądania prywatnego w tej aplikacji.

Paczka MS16-012 łata biblioteki związane z plikami PDF, które umożliwiały przejęcie kontroli nad komputerem ofiary, biuletyn MS16-013 jest z kolei związany z wbudowaną w system aplikacją Windows Journal, która była podatna na atak z wykorzystaniem spreparowanych dzienników. Microsoft łata ją już od dłuższego czasu i niestety, jak na razie nie widać końca tych batalii. MS16-015 dotyczy wspomnianych już pakietów Microsoft Office. Także i w tym przypadku wystarczy zachęcić ofiarę do uruchomienia spreparowanego pliku, aby przejąć kontrolę nad komputerem. Microsoft po raz kolejny przypomniał, że w przypadku pracy na koncie z uprawnieniami standardowymi skutki ewentualnego ataku będą znacznie mniej dotkliwe. Jeżeli chcecie w taki sposób zabezpieczyć komputer, odsyłamy do naszego specjalnego poradnika.

Ostatni krytyczny biuletyn oznaczono numerem MS16-022. Jest to zbiorcza paczka poprawek dla Adobe Flash Playera zintegrowanego z Internet Explorerem i Microsoft Edge – ta paczka jest wydawana co miesiąc, niestety, ale Flash był i wciąż jest dziurawy. Pozostałe biuletyny są oznaczone jako ważne, dotyczą m.in. podatności w kernelu systemowym, obsługi mechanizmu WebDAV, sterownika odpowiedzialnego za funkcję pulpitu zdalnego, a także platformy .NET Framework, która była podatna na atak typu DoS. Inne aktualizacje są związane także z podatnościami w serwerze NPS RADIUS i usługach Active Directory, nie są to jednak zagrożenia krytyczne i da się je wykorzystać tylko w specyficznych warunkach.

Zabezpiecz Windows bez ponoszenia dodatkowych kosztów - Poradnik

Zachęcamy do jak najszybszej instalacji nowych poprawek. Oczywiście Microsoft w zasadzie co miesiąc wydaje aktualizacje mechanizmów przypominających o promocyjnej ofercie Windows 10, ale nie to jest przecież w tych biuletynach najważniejsze: w razie potrzeby będziemy w stanie zablokować niechciane komunikaty, nie stanowią one także realnego zagrożenia, w przeciwieństwie do dziur istniejących w systemie, przeglądarkach internetowych i pakiecie biurowym. Pamiętajmy także o tym, że nie potrzebujemy osobnego zestawu zabezpieczającego, o ile oczywiście instalujemy aktualizacje udostępniane przez producenta.