Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Microsoft frissítőkedd - 2012. december

2012.12.12. 23:11 | buherator | Szólj hozzá!

MS12-078: Újabb TrueType illetve OpenType betűkészletek kezelését érintő problémák javítása. A fontkezelést megvalósító kernel driveren keresztül távoli kódfuttatás érhető el rendszer szintű jogkörrel, ha a felhasználó megnyit egy speciális betűkészlettel készült weboldalt, e-mailt vagy más dokumentumot. Az OpenType hibát a Chromium Security Rewards Program keretében jelentették be a Documill szakemberei. 

MS12-079: RTF fájlok kezelését érintő probléma javítása a Word 2013-asnál korábbi, windowsos verzióihoz. A probléma a speciálisan összeállított dokumentumot megnyitó felhasználó jogkörével enged kódot futtatni az érintett rendszereken.

MS12-080: Két hibajavítás az Exchange-hez, melyek közül az egyik a beépített Oracle Outside In komponenst foltozza, kiküszöbölendő egy csatlomány-előnézetek generálásakor keletkező, kódfuttatásra alkalmas hibát. Ez a sérülékenység alapértelmezetten LocalSystem jogosultságot nyújthat a sikeres támadónak, ami igen szűk mozgásteret biztosát. A másik javított probléma egy RSS csatornákon keresztüli DoS.

MS12-081: Ez egy szokatlan darab. Kódfuttatás érhető el a bejelntkezett felhasználó jogkörével, amennyiben a felhasználó egy speciálisan elnevezett fájlt vagy alkönyvtárat tartalmazó könyvtárat áll neki böngészni. A legfrissebb Windows szérián kívül minden támogatott oprendszer változat érintett.

MS12-082: Office dokumentumokba ágyazott DirectPlay tartalmak segítségével távoli kódfuttatás érhető el a Windows RT, valamint Server 2008 és 2012-n kívül minden Windows változaton. 

MS12-083: A Microsoft IP-over-HTTPS (hogy mik vannak?) protokollmegvalósítása elfogad visszavont tanúsítványokat is, ami lehetőséget adhat a hitelesítő eljárások megkerülésére. A probléma elsősorban az IP-HTTPS protokollt előszeretettel használható DirectAccess VPN-helyettesítő szolgáltatásokat érinti. 

Az Internet Explorer ebben a hónapban ugyan érintetlen maradt a microsoft részéről, ne felejtsétek el, hogy az Adobe szinkronizált frissítési ciklusával elérhetővé váltak új Flash változatok is. A javított sérülékenységek némelyikét Windows platformokkal szemben már aktívan kihasználják, ezért frissítsetek, amint lehet! Az Adobe emellett a ColdFusion-ön is tolt egyet.

Bónuszként úgy tűnik, hogy az Internet Explorer feliratkozik néhány olyan OS-eseményre is, ami a saját ablakán kívül történik, így egy egyszerű JavaScripttel követni lehet a felhasználók egérmozgását, illetve bizonyos billentyűinek állapotát is. A Microsoft állítólag október óta tud a dologról, de javítani egyelőre nem terveznek.

Címkék: microsoft windows flash patch office adobe exchange internet explorer word oracle chromium truetype directaccess opentype win32k.sys ip-https directplay outside in

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

Nincsenek hozzászólások.