Уязвимости оперативных систем Microsoft
Во вторник 14 января 2020 года компания Microsoft выпустила последние обновления безопасности для операционных систем Windows 7 и Server 2008, тем самым прекратив их официальную поддержку. Вместе с этим, было исправлено 49 уязвимостей в продуктах компании, 8 из которых были признаны критическими.
Одна из них – криптографический баг, обнаруженный исследователями АНБ, эксплуатация которого позволяет успешно проводить MitM-атаки. Ошибка, получившая наименование CVE-2020-0601, напрямую связана с работой компонента Windows CryptoAPI (Crypt32.dll). Воспользовавшись данной уязвимостью, злоумышленник мог изменить цифровой сертификат и присвоить вредоносному исполняемому файлу статус легитимного. Уязвимые системы: Windows 10, Server 2019, Server 2016.
Исправленные ошибки CVE-2020-0609, -0610 и -0611 были связаны с уязвимостью компонента Windows Remote Desktop Gateway. Баги позволяли злоумышленнику, использующему специально созданные запросы и протокол удаленного доступа (RDP), получить доступ к незащищенным серверам и выполнять вредоносный код. Специфика ошибок не требовала непосредственного взаимодействия с пользователем. Уязвимые системы: Windows Server 2016 и Server 2012.
Три уязвимости в Microsoft Excel позволяли удаленно выполнять зловредный код на стороннем устройстве после открытия специально скомпилированного файла (CVE-2020-0650, -0651, -0653). Последний исправленный критический баг, получивший наименование CVE-2020-0652 работал по тому же принципу, однако относился ко всему пакету Microsoft Office.
Уязвимости стороннего ПО
Сторонние поставщики программного обеспечения для Windows также не остались в стороне и выпустили собственные обновления безопасности.
Так, Intel пропатчила баги, позволяющие злоумышленнику повысить уровень привилегий во взломанной системе. Затронутые приложения: VTune Amplifier for Windows (CVE-2019-14613) и RAID Web Console 3 for Windows (CVE-2019-14601). Утечка информации в Processor Graphics (CVE-2019-14615) и DoS-ошибка Chipset Devise Software INF Utility (CVE-2019-14596) также были устранены.
Собственные обновления выпустила компания Adobe. В общей сложности было исправлено 9 ошибок различной степени важности. Баги в Illustrator CC 2019 для Windows были связаны с возможностью выполнения стороннего кода на целевом устройстве, а бреши в Experience Manager могли стать причиной утечки конфиденциальной информации.
Разработчики VMware Tools закрыли уязвимость CVE-2020-3941, которая могла стать причиной повышения привилегий злоумышленника на виртуальной машине Windows.
Ошибки в Rest Adaptor для SAP Process Integration (CVE-2020-6305), NetWeaver Internet Communication Manager (CVE-2020-6304) и Realtech RTCISM 100 также были исправлены стараниями специалистов компании SAP.
Текст: Антон Каландин