Zbliżając się do końca 2016 roku, Microsoft wydał ostatnią aktualizację „Patch Tuesday” na ten rok. Ta aktualizacja ma zdecydowanie największą liczbę aktualizacji zabezpieczeń wydanych w jednej łatce. Zawiera sześć poprawek krytycznych, a pozostałe sześć oceniono jako ważne. Obejmuje on 34 pojedyncze wady, z których wszystkie, jeśli zostaną wykorzystane, mogą doprowadzić do zdalnego wykonania kodu. Więc przygotuj się na ponowne uruchomienie. Korzystne jest, aby nie opóźniać wdrażania tych poprawek. Od trzech z nich dotyczy luk, które zostały ujawnione publicznie.

Krytyczne błędy zostały wyjaśnione w biuletynach MS16-144, MS16-145, MS16-146, MS16-147, MS16-148 i MS16-154. Mówi się, że pokonują podatności w systemach Windows, Internet Explorer, Edge i Office. Mówiąc dokładniej, użytkownicy systemu Windows 10 mieli problemy podczas łączenia się z Internetem po ostatniej fali poprawek wydanych przez Microsoft.

Oznaczony jako „Krytyczny”:

MS16-144

MS16-144 został wydany w celu rozwiązania wielu błędów w Internet Explorerze. Naprawiono także kilka usterek, które mogą powodować wyciek informacji, i takie, które mogą prowadzić do naruszenia informacji w bibliotece obiektów hiperłączy Windows. Ta poprawka zostanie uwzględniona w grudniowej comiesięcznej aktualizacji zabezpieczeń dla systemu Windows.

Oto publicznie ujawnione wady

• CVE-2016-7282 - podatność na ujawnienie informacji przeglądarki Microsoft.
• CVE-2016-7281 - błąd obejścia funkcji bezpieczeństwa przeglądarki Microsoft.
• CVE-2016-7202 - anomalia uszkodzenia pamięci silnika skryptowego.

Ta aktualizacja została oznaczona jako „Patch Now”, głównie ze względu na powagę problemu, który należy naprawić. MS16-144 zostanie zastosowany do wszystkich obecnie obsługiwanych wersji IE.

MS16-145

MS16-145 remontuje kilka zgłoszonych błędów w „nowej i ulepszonej” przeglądarce Edge Microsoftu. Liczba zgłoszonych usterek jest zaskakująco większa niż Internet Explorer, który jest ocenzurowany za pomocą 11 wad. MS16-145 rozwiązuje te krytyczne problemy.

• Pięć typowych wad silnika skryptowego.
• Dwa z błędów uszkodzenia pamięci.
• Obejście funkcji bezpieczeństwa.

MS16-146

MS16-146 ma tendencję do łatania krytycznych luk w zabezpieczeniach Zdalnego wykonania kodu w Microsoft Graphics Component systemu Windows. Ponadto naprawia błąd ujawnienia informacji GDI w systemie Windows. Wszystkie te luki są zgłaszane przez osoby prywatne. Poprawka ma zastąpić aktualizację komponentu graficznego z zeszłego miesiąca dla wszystkich systemów Windows 10 i Server 2016.

Jest to także druga poprawka do Tylko zabezpieczeń systemu Windows lub aktualizacja „roll-up” na ten miesiąc.

MS16-147

Wydano biuletyn MS16-147, aby rozwiązać wyłącznie utrzymującą się odpowiedzialność w Windows Uniscribe. Mówi się, że błąd spowodował zdalne wykonanie kodu. Dzieje się tak, jeśli użytkownicy odwiedzą specjalnie spreparowaną stronę internetową lub otworzą specjalnie spreparowany dokument. Z pewnością nie widzimy tego co miesiąc.

Dla tych, którzy nie wiedzą, składnik Uniscribe to zbiór API, które mają obsługiwać typografię w Windows dla różnych języków.

MS16-148

MS16-148 został wydany w celu rozwiązania wielu luk w zabezpieczeniach zdalnego wykonywania kodu. 16 prywatnych błędów zapisanych w pakiecie Microsoft Office. Nasilenie usterek można określić na podstawie faktu, że pozostawienie ich bez zapakowania może doprowadzić do scenariusza zdalnego wykonania kodu w systemie docelowym. Oto lista usterek:

• Cztery błędy uszkodzenia pamięci.
• Problem bocznego ładowania biblioteki DLL OLE pakietu Office.
• Błąd, który ujawnia krytyczne informacje GDI wraz z kilkoma innymi.

MS16-154

Łatka MS16-154 jest opakowaniem i usuwa istotne wady we wbudowanym programie Adobe Flash Player. Jest to potencjalnie najbardziej niebezpieczny problem, jeśli nie zostanie rozwiązany. Mówi się, że naprawia 17 problemów, w tym jedną usterkę, która obecnie działa na wolności. Microsoft zaskakująco zasugerował czynnik łagodzący ten problem. To zadziwiające, ponieważ firma zwykle nigdy tego nie robi. Obejściem tego problemu jest całkowite odinstalowanie Flasha.

Otrzymano raporty dotyczące podatności na zero dni, które zdołały zagrozić 32-bitowym systemom Internet Explorer. Jest to więc krytyczna aktualizacja „Patch Now”.

Adresuje:

• Cztery błędy przepełnienia bufora.
• Pięć problemów z uszkodzeniem pamięci, które mogą potencjalnie spowodować zdalne wykonanie kodu.

Oznaczone jako „Ważne”:

MS16-149

Poprawka została wydana w celu rozwiązania dwóch problemów zgłaszanych przez użytkowników w systemie Windows.

• Usterka ujawniania informacji kryptograficznych w systemie Windows, która obejmuje obsługę obiektów w pamięci.
• Błąd, który prowadzi do podniesienia uprawnień w komponencie kryptograficznym Windows.

MS16-149 zostanie dodany do pakietu bezpieczeństwa w tym miesiącu.

MS16-150

To jest aktualizacja zabezpieczeń dotycząca jedynej podatności, zgłoszona prywatnie. MS16-150 dotyczy utrzymującego się problemu z jądrem systemu Windows, który może naruszać uprawnienia użytkownika. Jest to spowodowane głównie niewłaściwym obchodzeniem się z obiektami w pamięci.

MS16-151

MS16-151 próbuje naprawić kilka drobnych błędów. Każda prywatnie zgłoszona i szacuje się, że powoduje minimalną szkodę. Jeden jest związany z luką Win32k EoP w sterownikach trybu jądra systemu Windows. Innym problemem, który rozwiązuje, jest komponent graficzny systemu Windows, niewłaściwe obchodzenie się z obiektami w pamięci.

MS16-152

MS16-152 to poprawka bezpieczeństwa dla jądra systemu Windows, której celem jest rozwiązanie wyłącznej odpowiedzialności. Jest to zgłoszona przez użytkowników luka w zabezpieczeniach jądra systemu Windows, która dotyczy tylko systemów Windows 10 i Server 2016. Wiadomo, że błąd powoduje w najgorszym przypadku ujawnienie informacji. Ta poprawka zostanie dołączona do comiesięcznego pakietu zbiorczego aktualizacji systemu Windows.

MS16-153

Ta poprawka rozwiązuje pojedynczą usterkę związaną z ujawnianiem informacji, również prywatnie podaną. Błąd występuje w podsystemie sterownika Windows, wyzwalanym przez aktualizację systemu plików Common Log File System (CLFS).

MS16-155

MS16-155 naprawia odpowiedzialność w ramach platformy.NET. Microsoft zauważył, że błąd został ujawniony publicznie, ale nie jest wykorzystywany. Jest to potencjalnie podatna na ryzyko luka i ma swój własny pakiet aktualizacji. Dlatego oszczędzono go przed włączeniem do roll-upów dotyczących jakości i bezpieczeństwa systemu Windows.

Wystarczy wiedzieć o każdej aktualizacji zabezpieczeń ostatniego tegorocznego patcha we wtorek. Do przyszłego roku Happy Patching.

Powiązane artykuły, które powinieneś przeczytać:

• Aktualizacja zabezpieczeń systemu Windows 10 z czerwca zawiera ogromne poprawki dla IE, Edge, Flash Player i systemu operacyjnego Windows
• Zbiorcza aktualizacja systemu Windows 10 Mobile rozwiązuje niektóre znane problemy i poprawia ogólną wydajność
• Usterka bezpieczeństwa opublikowana przez Google załatana przez Microsoft
• Windows 7 KB3205394 usuwa poważne luki w zabezpieczeniach, zainstaluj go teraz