Microsoft исправляет 46 уязвимостей в Windows, IE, Office и других продуктах

14.05.2015 | 01:03 Экономика

Четырнадцать критических уязвимостей в Internet Explorer были исправлены в очередной Вторник патчей Microsoft. В целом, было исправлено 46 уязвимостей во всех продуктах, включая Windows, Internet Explorer и Office.

Патчи были организованы в 13 бюллетеней безопасности, три из них помечены как критические, а десять, как важные. Критические бюллетени MS15-043, MS15-044 и MS15-045 охватывают уязвимости удаленного выполнения кода Windows, IE, Office, Microsoft .NET Framework, Microsoft Lync и Silverlight.

Приоритетом для администраторов должен быть MS15-043, который исправляет 22 уязвимости в Internet Explorer, из которых 14 являются критическими, сказал Вольфганг Кандек, технический директор компании безопасности Qualys. Критические уязвимости в IE позволяют злоумышленникам выполнить произвольный код на машинах, когда их пользователи посещают вредоносные веб-страницы. Хакеры располагают различными методами, чтобы добиться этого.

Тем не менее, не все уязвимости удаленного выполнения кода эксплуатируются преступниками. В прошлом году, только 5% таких уязвимостей были использованы в реальных атаках.

«Трудно спрогнозировать – какие именно 5%», сказал Кандек. «Я думаю, что имеет смысл взглянуть на прошлое, чтобы увидеть — на что были направлены атаки, какие уязвимости используются в пакетах эксплойтов, и подготовиться соответствующим образом».

Далее по списку приоритетов должен быть MS15-044, потому что он исправляет две уязвимости в библиотеке обработки шрифта, которая используется многими продуктами Microsoft.

Злоумышленники могут использовать эти уязвимости, внедряя специально созданный шрифт в документы или веб-страницы.

«Ставьте патч быстро, менее чем за две недели, если это возможно», говорит Кандек.

Одной из причин является то, что, что преступники быстрее, чем когда-либо принимают эксплойты для популярных программ, особенно для тех, которые они могут использовать в большом масштабе. Но компании также должны начать привыкать к ускоренному темпу установки патчей, потому что Microsoft планирует выпускать обновления для Windows 10 по мере их готовности, а не по фиксированному расписанию.

Компании получат возможность отсрочить установку обновлений для некоторых систем с помощью нового сервиса Windows Update for Business. Однако, как только обновления для системы безопасности достигают потребителей, исправляемые уязвимости раскрываются.

Давно известно, что злоумышленники могут воспользоваться реверс-инжинирингом патчей, чтобы найти уязвимости и понять — как их использовать, так что компании не могут позволить себе роскошь надолго отложить установку патчей.