Microsoft Microsoft Patch Tuesday fokuserer på Windows, Explorer, Exchange

I tillegg til å dekke Windows og Internet Explorer, omfatter Microsofts nyeste månedlige batch av patcher den mye brukte Exchange Server, både Exchange Server 2007 og Exchange Server 2010-utgavene.

"Microsoft leverte en monstertilpasset patch denne måneden … Det er nok til å gjøre hodet ditt, forteller Andrew Storms, direktør for sikkerhetsoperasjoner for sikkerhetsfirmaet nCircle, i en epost.

Samlet utstedte Microsoft 12 sikkerhetsoppdateringer, som dekker 57 sikkerhetsproblemer, en

[Videre lesing: Slik fjerner du skadelig programvare fra Windows-PCen]

Microsoft merket fem av de 12 oppdateringene som kritiske og labelle d de resterende syv som viktige.

Systemadministratorer som overvåker Microsoft Exchange-distribusjoner, bør ta en nærmere titt på Microsofts siste runde med sikkerhetsoppdateringer.

Patch IE første

NCircle anbefaler at organisasjoner bruker de to kritiske Internet Explorer-patchene først. "Begge disse eksterne eksekveringsfeilene er alvorlige sikkerhetsrisiko, så la dem alle lappe og la dem raskt," skrev Storms. De to kritiske oppdateringene dekker versjon 6 til og med 10 av nettleseren.

"Begge bulletiner løser" drive-by-feil "som bare krever at offeret skal bla gjennom et nettsted for å bli smittet med ondsinnet kode," skrev Storms.

Microsoft Sikkerhetsbulletin MS13-010 beskriver et sikkerhetsproblem i Internet Explorers implementering av Vector Markup Language (VML) som kan tillate ekstern kjøring av kode. Dette sikkerhetsproblemet har allerede blitt brukt i ett angrep, og flere angrep forventes innen de neste 30 dagene, ifølge Microsoft.

Også rettet mot Internet Explorer, beskriver MS13-009 13 forskjellige sikkerhetsproblemer som er gruppert sammen i en oppdatering fordi de finnes i overlappende deler av nettleserens kodebase. Microsoft forventer at disse sårbarhetene også skal utnyttes innen de neste 30 dagene.

NCircle anbefaler også at, i tillegg til å lappe Explorer, må administratorer bruke patcher som Adobe utgitt tirsdag for Flash og, hvis det brukes, Shockwave.

Hvis du bare har tid til å gjøre det absolutte minimumet, bør du lappe Internet Explorer og Flash med en gang, sier Storms.

Windows-oppdateringer

Windows har to kritiske oppdateringer. For Windows XP, Windows Server 2003, Windows Vista og Windows Server 2008, adresserer MS13-011 et kritisk sikkerhetsproblem i Windows Media Player som tillater kode innebygd i en mediefil som skal utføres når filen dekomprimeres av programvaren. Og for Windows XP SP3 beskriver MS13-020 også et sikkerhetsproblem som kan føre til ekstern kjøring av kode, en som ville oppstå hvis brukeren skulle åpne, enten i Microsoft Word eller Wordpad, et RTF (Rich Text Format Document) med en hemmelighet innebygd ActiveX-kontroll.

Microsoft Exchange-oppdatering

Microsoft Exchange er fokus for den femte kritiske oppdateringen.

Mens Windows og Explorer oppdateres ganske mye hver måned, er utseendet på et Exchange-sårbarhet noe mer sjeldent. Microsoft-bulletin MS13-012 forklarer Exchange-sikkerhetsproblemet. Attackers kan kompromittere en distribusjon av Microsoft Exchange ved å ha en bruker av Outlook Web Access, klikk på et skadelig vedlegg. Sårbarheten stammer faktisk fra et bibliotek levert av Oracle, kalt Oracle Outside In, som konverterer filer i ulike formater slik at de kan vises i nettleseren. Hvis du klikker på vedlegget, kan det utløse den innebygde koden som skal kjøres på serveren.

Av de syv "viktige" oppdateringene, to er for Windows-servere, en er for Windows desktop-utgaver og to er for enten serveren eller desktop-utgaven av Windows. En viktig oppdatering er for.Net-rammen, og en er for delen FastSearch-server i SharePoint.

NCircle-instruerte brukere av VMware ESXi hypervisor for å se nærmere på MS13-014, som beskriver hvordan NFS (Network File Server) -operasjoner som kjører under Windows Server 2008 R2 og Windows Server 2012, kan være utsatt for et angrep på tjenesten. "Dette har potensial til å utilsiktet få ødeleggelse på din virtuelle infrastruktur hvis alt er montert ved hjelp av Windows NFS-aksjer," skrev Tyler Reguly, nCircle teknisk leder for sikkerhetsforskning og utvikling, i en e-postoppsigelse.

Microsoft løser rutiner for sikkerhetsoppdateringer for dens programvare på den andre tirsdag i hver måned. Forutsigbarheten av patch Tuesday, som det ofte kalles, tillater administratorer å sette opp tid til å oppdatere sine systemer. Som med eventuelle oppdateringer til kritiske IT-systemer, oppfordres administratorer til å bruke oppdateringene i et testmiljø for å sjekke for uventede interaksjoner med maskinvare eller annen programvare. Alle oppdateringene i denne måneds batch kan kreve at du starter systemet på nytt.

Sikkerhetsoppdateringene vil være tilgjengelige på Microsoft Download Center, gjennom WSUS (Windows Server Update Services) og, for forbrukere, gjennom Windows Update-prosessen.