Microsoft

MS13-067: Ebben a csomagban a Microsoft több Office sérülékenységet orvosol. Egyrészt úgy tűnik, a Google-nél elkezdtek Word-t fuzzolni, amiből kiesett öt sérülékenység, a bulletin fő attrakciója azonban a SharePoint, amiben több XSS mellett távoli kódfuttatásra alkalmas sérülékenységeket is javítottak. Ezek egyike speciális Office fájlok megnyitásakor eredményez rendszer szintű kódfuttatást, a másik pedig feltehetően a VIEWSTATE manipulációjával biztosít lehetőséget a W3WP rendszerfiók jogkörével történő parancsvégrehajtásra.

MS13-068: Egymásba ágyazott S/MIME formátumú levelek előnézetének megjelenítésekor az Outlook double-free szituációba keveredhet. A Microsot kritikus besorolással látta el a javítást, ennek ellenére az SRD blog hangsúlyozza, hogy a hiba sikeres kihasználása igen valószínűtlen - ennek ellenére pesze erősen ajánlott a folt telepítése.

Friss: @alech azt írja, hogy véletlenül sikerült kódfuttatást elérnie.

MS13-069: Az ehavi IE javítócsomag tíz hibát orvosol. A problémák nagy részét a HP ZDI programjának keretében jelentették be, ami ismét jól mutatja a hasonló bugvadász programok fontosságát. 

MS13-070: Tetszőleges, OLE objektumot tartalmazó fájlon keresztül triggerelhető hiba javítása az XP-2003 pároshoz. A probléma kihasználása az áldozatéval megegyező jogokat biztosít a támadónak.

MS13-071: Ez egy elég fura darab. Bizonyos Windows rendszereken (pl. XP-n, 2003-on, Vistán és 2008 SP2-n, de SP0-n és 7-esen nem) egy támadó kódot futtathat, amennyiben képes rávenni a felhasználót, hogy telepítsen egy spéci Windows téma fájlt. Ezek után a támadó felhasználó jogaira tesz szert, de ettől függetlenül akár új, teljes jogú fiókokat is létrehozhat. Ezt rakjátok össze!

MS13-072: Ez a javítás egyrészt az első folytatása, még egy rakás (szám szerint 12), a Google Security Team által felfedezett Office sérülékenységgel. A folt ezen kívül javít egy szinte triviálisnak látszó információ szivárgás problémát: az office által kezelt XML dokumentumokba ágyazott külső entitásokon keresztül egy támadó fájlokat olvashat az áldozat rendszeréről - szinte látom magam előtt az ehhez szükséges kódot, csak azt tudnám, ez miért nem jutott eddig az eszembe?

Friss: Az XML sérülékenységeket a BlackHat-en demózták, az előadás anyagok itt elérhetők.

MS13-073: Még két Office memória korrupció javítása, illetve az előző XML external entity probléma átültetése más termékkomponensekre/verziókra.

MS13-074: Még három memória korrupció, ezúttal az Accessben (használja még valaki ezt az Isten-csapását?)

MS13-075: Egy kínai beviteli módokat támogató Office változatokat érintő memóriakorrupciós probléma javítása. Friss: Az utóbbi hetek információi alapján nem tűnik alaptalan feltételezésnek, hogy hátsó ajtóról lehet szó...

MS13-076: A Google-nél a Windows kernel drivereinek fuzzolásával sem álltak le, ez ebben a hónapban összesen hét hibajavítást eredményezett a win32k.sys-ben, a problémák privilégiumemeléshez vezethetnek.

MS13-077: Egy double-free hiba a Windows 7-2008 Service Control Managerében jogosultságkiterjesztést tesz lehetővé.

MS13-078: Információszivárgás a FrontPage-ben, ennél több szót azt hiszem ez a darab nem érdemel.

Adobe

Az Adobe frissítette a Flash és Shackwave lejátszókat, valamint a Reader és Acrobat termékeket is, összesen 14 sérülékenységet javítva. A lejátszók foltjainak telepítését a gyártó a lehető leghamarabb javasolja, a PDF kezelő termékeknél - feltehetően az érintett verziókban megtalálható megerősítő védelmeknek köszönhetően - a foltozás közepes prioritású.

Az IE10 és a Chrome Flash lejátszói természetesen maguktól frissülnek. A lejátszó Windows 8-on elérhető biztonsági megoldásairól itt olvasható egy érdekes bejegyzés.

A WebSense friss felmérése szerint egyébként a felhasználók 40 százalékánál elavult Flash fut.

Cisco

A Cisco elsősorban DoS illetve alacsonyabb kockázatú információszivárgást okozó hibákat javított, az ASA, UCS és WLC termékcsaládokban valamint az IOS rendszerben.

VMware

A VMware kliens szoftverei  ingyen root-ot adtak Debian-alapú rendszerekre, javítás erre. ESX és ESXi hypervisor DoS javítások meg erre. 

Oracle (Friss)

Kijött a Java 7u40, ami kifejezett biztonsági foltokat nem kapott, de néhány biztonsági funkció fejlesztésre került 

Apple (új iPhone!!4!)

Itt csak gyorsan annyit jegyeznék meg, hogy az ujjlenyomat-olvasótól az iPhone nem lesz biztonságosabb: ha a szoftver sérülékenységektől (lásd még: jailbreak) most eltekintünk, elmondhatjuk, hogy az ujjlenyomat alapú azonosítással gyakorlatilag mindenhová kiírod a jelszavad, amit nem tudsz (fájdalommentesen) megváltoztatni, a leolvasók pontosságába pedig ne is menjünk bele. A témában Schneier bácsi Wired-en megjelent cikkét tudom ajánlani, a kedvenc idézetem:

"A legjobb [biometrikus azonosítási] rendszert egy magas biztonsági szintű kormányhivatalban láttam. Lehet, hogy át lehetett volna verni egy hamis ujjal, de a mellette álló tengerészgyalogos egy nagy fegyverrel az oldalán gondoskodott róla, hogy ezt ne próbáld meg."

+++

• Egyéb iránt tudta-e Ön, hogy az OS X-ben fél éve nem képesek kijavítani a sudo egy ismert, jogosultságkiterjesztésre alkalmat adó sérülékenységét?
• ... és hogy a Dropboxszal sutba dobhatjuk az ASLR-t?
• Érdekes egybeesés, hogy az első dokumentált, szó szerinti bugot hatvanöt évvel ezelőtt (majdnem?) pontosan ezen a napon fedezték fel.

Szép álmokat! / Jó reggelt!