На этой неделе разработчики Microsoft выпустили исправления более чем для 50 уязвимостей в Windows, Internet Explorer, Microsoft Edge, ChakraCore, а также Microsoft Office и Microsoft Office Services. Кроме того, в состав июньского «вторника обновлений» вошли патчи для проблемы Spectre вариант 4.
В этом месяце среди исправлений не было патчей для уязвимостей нулевого дня, однако были закрыты сразу 11 критических брешей в браузерах компании и самой Windows.
Впрочем, информация об одной из исправленных проблем все же была раскрыта до релиза патчей. Еще на прошлой неделе специалисты Trend Micro Zero-Day Initiative опубликовали данные о баге CVE-2018-8267, обнаруженном в JScript компоненте Windows и позволявшем удаленно выполнить произвольный код.
Также в списке исправленных критических уязвимостей числится проблема CVE-2018-8225, затрагивающая DNSAPI.dll, DNS компонент Windows. Данный баг может использоваться для выполнения произвольного кода в контексте Local System Account. Для этого атакующим понадобится вредоносный DNS-сервер, отправляющий специфические ответы уязвимой системе. Перед проблемой уязвимы все версии Windows от 7 до 10, а также Windows Server.
Еще одна RCE-уязвимость, CVE-2018-8251, касается работы Windows Media Foundation. Эта проблема позволяет полностью скомпрометировать систему и перевести ее под контроль злоумышленника. Для эксплуатации бага нужно лишь вынудить пользователя открыть вредоносный документ или веб-страницу.
Не менее серьезная брешь, CVE-2018-8231, была обнаружена в составе HTTP Protocol Stack (Http.sys), она затрагивает Windows 10 и Windows Server 2016. Уязвимость допускает удаленное выполнение произвольного кода и может быть использована без аутентификации, путем отправки уязвимой машине вредоносного пакета.
Помимо прочего, в состав июньского «вторника обновлений» вошли патчи для процессорной проблемы Spectre вариант 4, также известной под названием SpectreNG. Исправления доступны для Windows 10, Windows Server 2016, Windows 7, а также Windows Server 2008 R2, но, как и обещали разработчики, они поставляются отключенными по умолчанию. Стоит отметить, что это лишь часть исправления проблемы, теперь Intel и AMD должны представить обновленные микрокоды для окончательного устранения бага.
Напомню, что информация о двух «родственных» Meltdown и Spectre проблемах была опубликована в конце мая 2018 года. Баги обнаружили специалисты компаний Google и Microsoft. Уязвимостям присвоили идентификаторы вариант 3а (CVE-2018-3640) и вариант 4 (CVE-2018-3639). Дело в том, что согласно классификации специалистов, уязвимость Spectre делится на вариант 1 (CVE-2017-5753) и вариант 2 (CVE-2017-5715), тогда как проблема Meltdown (CVE-2017-5754) являлась вариантом 3. Как нетрудно понять, новый вариант 3а является вариацией бага Meltdown, тогда как более опасный вариант 4, так же получивший имя Speculative Store Bypass, – это производная Spectre. Новые уязвимости затрагивают процессоры Intel, AMD, некоторые процессоры ARM, а также IBM Power 8, Power 9 и System z.
