Компания Microsoft представила очередное ежемесячное обновление для своих программных продуктов, закрывающее более 14 уязвимостей в ОС Windows и ее компонентах, веб-браузере Internet Explorer, а также наборе офисных приложений Microsoft Office. Кроме того, бюллетень безопасности MS12-058 устранил 13 уязвимостей в библиотеках Oracle Outside In, используемых почтовым сервером Microsoft Exchange Server. Вопреки ожиданиям специалистов, никаких других уязвимостей в Microsoft Exchange устранено не было. Учитывая тот факт, что обновление Exchange 2007 и 2010 не производилось с декабря 2010 года, это может говорить либо о хорошей защищенности почтовой службы, либо о нежелание компании Microsoft поддерживать и развивать это приложение. Все версии веб-браузера Internet Explorer получили накопительное обновление MS12-052, устраняющее 4 критических уязвимости. Напомним, что критическое обновление подразумевает возможность выполнения произвольного программного кода без участия пользователя. В компании Microsoft утверждают, что ни одна из этих уязвимостей на текущий момент не используется в хакерских атаках. По мнению специалистов, наибольшую опасность представляет уязвимость (CVE-2012-2521), связанная с ошибками управления объектами в памяти веб-браузера. Похожая критическая уязвимость (CVE-2012-2526) была устранена в реализации Remote Desktop Protocol (RDP) для ОС Windows XP SP3. Еще один сетевой протокол Remote Administration Protocol (RAP) стал причиной 4 уязвимостей в сетевых компонентах ОС Windows и службы печати Windows Print Spooler (CVE-2012-1851). Специально сформированный сетевой запрос, позволял вызвать отказ от обслуживания или выполнение произвольного программного кода (на платформах Windows XP и Server 2003). Очередные ошибки в библиотеки "mscomctl.ocx" функций ActiveX-объектов, отвечающих за работу с TabStrip-элементами стали причиной критической уязвимости (CVE-2012-1856), затронувшей многие Windows-приложения, в том числе: Office 2003/2007, компоненты SQL Server, Visual FoxPro и общедоступные библиотеки Visual Basic 6.0. Как свойственно для большинства уязвимостей библиотеки "mscomctl.ocx", критическая уязвимость CVE-2012-1856 уже активно используется злоумышленниками в целевых атаках в Интернет через специально сформированные веб-страницы. Еще 3 уязвимости носят "важный" характер и требуют от пользователя дополнительного действия для выполнения вредоносного кода: CVE-2012-2523 - клиентские библиотеки JScript 5.8 и VBScript 5.8 для 64-битной Windows-платформы могут быть использованы для выполнения произвольного программного кода через повреждения памяти, вызванного целочисленным переполнением буфера вследствие открытия специально сформированного JavaScript-кода; CVE-2012-2524 - выполнение произвольного программного кода через открытие специально сформированного CGM-файла в приложениях Microsoft Office 2007 и 2010; CVE-2012-1888 - выполнение произвольного программного кода при открытие DXF-файла в приложение Microsoft Visio 2010. Устраняемая в драйвере "win32k.sys" ядра ОС Windows уязвимость (CVE-2012-2527), может быть использована в многоуровневых атаках для повышения привилегий. Кроме того, компания Microsoft продолжила повышать безопасность своей системы сертификации, ограничив использование RSA-ключей длиной менее 1024 бит (KB2661254). Все обновления доступны на веб-ресурсах Windows Update и Microsoft Update, а также систему Автоматического обновления.
Подробности