Ко вчерашнему набору патчей, которые выпустила компания Microsoft, добавились аналогичные «заплатки» от других производителей. Так получилось случайно, что к лучшему — в самом деле, удобно обновлять всё сразу.
Начнём с Java, потому что в последнее время она, похоже, обогнала Adobe Reader и Flash по количеству новых эксплоитов. По крайней мере, по статистике из Phoenix Exploit Kit, именно эксплоиты для Java показывают сейчас наибольшую эффективность. У Blackhole эффективность Java-эксплоитов ещё выше.
Oracle выпустила Java 6 update 31, Java 5 update 34 и Java 7 update 3, все эти обновления можно скачать с Java.com.
Для пользователей Mac OS X пока никаких обновлений нет, им нужно ждать, пока Apple выпустит собственные патчи для операционной системы и включит туда обновления для Java. Oracle не делает билды для маков, хотя уязвимости там те же самые. То есть перечилсенные ниже дыры остаются открытыми на всех компьютерах Mac OS X в ближайшее время. Впрочем, такой детальный тайминг не столь существенный, потому что на огромном количестве Windows-машин успешно эксплуатируются уязвимости, для которых патчи вышли больше года назад. Как раз недавно появился свежий эксплоит для дыры 14-месячной давности.
Последний апдейт Java закрывает 14 уязвимостей — все они позволяют осуществлять удалённое исполнение кода без соответствующих полномочий. Согласно рейтингу Oracle, пять из них имеют максимальный уровень опасности (10.0) и «низкую» сложность неавторизованного доступа в систему, ещё у одной рейтинг 9.3 и «средний» уровень сложности. У остальных опасность 7.5 и меньше.
Номера CVE, в порядке снижения опасности: CVE-2012-0497, CVE-2012-0498, CVE-2012-0499, CVE-2012-0500, CVE-2012-0508, CVE-2012-0504, CVE-2011-3571, CVE-2012-0503, CVE-2012-0505, CVE-2012-0502, CVE-2011-3563, CVE-2011-5035, CVE-2012-0501, CVE-2012-0506.
Компания Adobe опубликовала три бюллетеня: для Shockwave, RoboHelp для Word и для Adobe Flash Player.
Апдейт для Flash Player закрывает семь критических уязвимостей: CVE-2012-0751, CVE-2012-0752, CVE-2012-0753, CVE-2012-0754, CVE-2012-0755, CVE-2012-0756, CVE-2012-0767. Они относятся к Flash Player 11.1.102.55 и более ранним версиям под всеми десктопными операционными системами, а также Adobe Flash Player 11.1.112.61 и более ранним версиям для Android 4.x, Flash Player 11.1.111.5 и более ранним версиям для Android 3.x и 2.x.
Среди закрытых уязвимостей — одна очень опасная, связанная с XSS (CVE-2012-0767), для неё уже существует эксплоит и он уже замечен в реальных атаках (действует только для Internet Explorer под Windows). Об этой уязвимости в Adobe сообщили коллеги из компании Google. Ещё две критические уязвимости из данного бюллетеня обнаружил некий Александр Гаврун.
RoboHelp — это расширение для Microsoft Office, которым пользуются некоторые организации в документообороте.
Бюллетень APSB12-02 для плеера Shockwave закрывает девять уязвимостей в версиях плагина как под Windows, так и под Macintosh: CVE-2012-0757, CVE-2012-0758, CVE-2012-0759, CVE-2012-0760, CVE-2012-0761, CVE-2012-0762, CVE-2012-0763, CVE-2012-0764, CVE-2012-0766.