Центр обновлений

Наступило долгое и жаркое лето 2019 года, и многие хотели бы провести денек на пляже, потягивая освежающие напитки и подставляя лицо океанскому бризу. Однако большинство из нас сегодня займутся не этим. Как обычно, во второй вторник месяца мы должны установить обновления, прежде чем сможем немного отдохнуть и расслабиться.

Хорошая новость заключается в том, что июль не стал особо богатым на патчи. В клиентских версиях Windows обнаружена только одна критическая уязвимость, которую нужно исправить. Но плохо то, что она есть имеется во всех версиях клиентских и серверных операционных систем Windows, и что злоумышленник может использовать ее различными способами. Поэтому устранение этой проблемы должно стоять на первом месте в вашем списке дел. В большинстве версий Windows Server устранены две критически важные проблемы. Кроме того, каждая версия ОС получила исправления для 18- — 38 уязвимостей, имеющих уровень «важная».

Помимо исправлений ОС, корпорация Microsoft также выпустила на эту дату обычные обновления для своих веб-браузеров и других программных продуктов, а также опубликовала более двухсот записей на портале Security Update Guide. Как всегда, обновлено средство удаления вредоносных программ (MSRT), которое содержит новейшие определения вредоносных программ.

ИТ-администраторам и специалистам по безопасности также может быть интересна публикация новой структуры конфигурации безопасности Microsoft для Windows 10, известной как платформа SECCON. Она предоставляет пять уровней технологий обеспечения безопасности на основе требований к защите конкретной системы. Рекомендации разделены на четыре категории: аппаратные средства, политики, элементы управления и модели поведения. Дополнительную информацию можно

А теперь более подробно остановимся на обновлениях этого месяца и уязвимостях, для борьбы с которыми они предназначены.

Рекомендации по безопасности

В этом месяце во «вторник обновлений» были выпущены следующие рекомендации по безопасности:

ADV190021 | Уязвимость межсайтового скриптинга в браузерной версии Outlook. Эта рекомендация устраняет уязвимость межсайтового скриптинга, которая влияет на локальные развертывания браузерной версии Outlook (ранее известной как Outlook Web App). Чтобы воспользоваться этой уязвимостью, злоумышленник должен отправить жертве электронное письмо, содержащее специально созданный контент в формате HTML. Затем жертва должна перетащить изображение из электронного письма на новую вкладку браузера или вставить URL-адрес изображения в адресную строку на новой вкладке. Вредоносное изображение должно иметь формат SVG. Чтобы устранить эту уязвимость, Microsoft рекомендует администраторам браузерной версии Outlook блокировать изображения SVG и добавить инструкции по устранению этой уязвимости.

Обновления операционной системы, ее компонентов и браузера

Как обычно, наибольшее количество исправленных уязвимостей находится в Windows 10. В версиях 1903, 1809 и 1709 исправлено 36 уязвимостей, в версии 1803 — 37, а в версиях Windows 7 и 8.1 — 21 и 19 уязвимостей соответственно.

Windows Server 2019, новейшая версия серверной ОС, стала королем патчей в этом месяце — в ней исправлено 40 уязвимостей. Версии Windows Server 2009 R2, 2012 R2 и 2016 получили исправления для 21, 22 и 27 проблем безопасности соответственно.

Windows 10

В следующих статьях базы знаний приведены сведения о проблемах, устраненных обновлениями от 9 июля, для различных версий Windows 10:

• Windows 10 версии 1803 — KB4507435. Решает проблему с режимом восстановления шифрования BitLocker. Включает обновления безопасности для беспроводной сети Windows, Windows Server, Microsoft Scripting Engine, хранилища и файловых систем Windows, графического компонента Microsoft, ядра Windows, Internet Explorer, функций ввода и компоновки Windows, функции виртуализации Windows, платформы и фреймворков приложений Windows, Microsoft Edge, функции криптографии Windows и Windows Fundamentals.
• Windows 10 версии 1809 — KB4507469. Устраняет проблему с режимом восстановления шифрования BitLocker и проблему, из-за которой камера переставала отвечать на запросы. Включает обновления безопасности для Windows Server, Microsoft Scripting Engine, графического компонента Microsoft, Internet Explorer, функций ввода и компоновки Windows, функции виртуализации Windows, платформы и фреймворков приложений Windows, ядра Windows, Microsoft Edge, функции криптографии Windows и Windows Fundamentals.
• Windows 10 версии 1903 — KB4507453. Исправляет проблему с наклоном, возникающую у некоторых пользователей Mixed Reality после подключения гарнитуры. Исправляет проблемы с качеством изображения, возникающие у некоторых пользователей при использовании гарнитуры Windows Mixed Reality (WMR) с контентом Steam^®VR. Исправляет проблему с режимом восстановления шифрования BitLocker. Включает обновления, повышающие безопасность при использовании Internet Explorer, Microsoft Edge, беспроводных технологий и продуктов Microsoft Office.

Подробные сведения о каждом исправлении приведены в соответствующих статьях базы знаний для каждой версии операционных систем, указанных выше.

Старые клиентские операционные системы

Если вы до сих пор используете старую поддерживаемую версию Windows, вы, тем не менее, должны регулярно отслеживать выход ежемесячных обновлений и устанавливать их, поскольку критическая уязвимость была найдена во всех версиях операционной системы.

Для более ранних операционных систем Windows выпущены следующие обновления для системы безопасности:

• Windows 8.1 и RT 8.1 — KB4507448 (ежемесячный накопительный пакет обновлений) и KB4507457 (только обновления системы безопасности);
• Windows 7 — KB4507449 (ежемесячный накопительный пакет обновлений) и KB4507456 (только обновления системы безопасности).

Эти обновления включают исправления уязвимостей в графическом компоненте Microsoft, хранилище и файловых системах Windows, оболочке Windows, функциях ввода и компоновки Windows и ядре Windows.

Подробные сведения о каждом исправлении приведены в соответствующих статьях базы знаний для каждой версии операционных систем, указанных выше.

Серверные операционные системы Windows Server

В четырех поддерживаемых в настоящее время версиях Windows Server в этом месяце исправлено от 21 до 40 уязвимостей, причем по две критические проблемы есть во всех версиях, кроме Server 2008 R2, где критическая проблема только одна.

• Windows Server 2019 — KB4507469. Устраняет проблему с режимом восстановления шифрования BitLocker и проблему, из-за которой камера переставала отвечать на запросы. Включает обновления безопасности для Windows Server, Microsoft Scripting Engine, графического компонента Microsoft, Internet Explorer, функций ввода и компоновки Windows, функции виртуализации Windows, платформы и фреймворков приложений Windows, ядра Windows, Microsoft Edge, функции криптографии Windows и Windows Fundamentals.
• Windows Server 2012 R2 — KB4507448 (ежемесячный накопительный пакет обновлений) и KB4507457 (только обновления безопасности). Включает обновления безопасности для беспроводной сети Windows, Windows Server, хранилища и файловых систем Windows, графического компонента Microsoft, ввода и компоновки Windows, ядра Windows, платформы и структуры приложений Windows.
• Windows Server 2008 R2 — KB4507449 (ежемесячный накопительный пакет обновлений) и KB4507456 (только обновления безопасности). Включает обновления безопасности для Windows Server, графического компонента Microsoft, хранилища и файловых систем Windows, оболочки Windows, функций ввода и компоновки Windows и ядра Windows.

Обратите внимание, что обновления для Windows RT 8.1 и Microsoft Office RT доступны только в Центре обновления Windows.

Браузеры Microsoft

На этот раз Microsoft Internet Explorer 11 получает исправления для шести уязвимостей (все они классифицированы как критические), в то время как у Edge количество несколько выше: семь уязвимостей (все критические). К ним относятся многочисленные проблемы с повреждением памяти обработчика сценариев и проблемы с повреждением памяти обработчика сценариев Chakra, которые могут быть использованы злоумышленником для выполнения произвольного кода в контексте текущего пользователя.

Для браузеров операционных систем Microsoft выпущены следующие обновления для системы безопасности:

• KB4507434 — накопительное обновление системы безопасности для Internet Explorer. Устраняет критические уязвимости обработчика сценариев. Обратите внимание, что, за исключением Internet Explorer 11 в Windows Server 2012, исправления, вошедшие в обновление KB4507434 для системы безопасности Internet Explorer, также включены в ежемесячный накопительный пакет обновлений за июль 2019 года. При установке обновления безопасности для Internet Explorer или ежемесячного накопительного пакета безопасности устанавливаются исправления, включенные в это обновление.

Другие продукты и службы Microsoft

В этом месяце также вышли обновления для следующего программного обеспечения:

• Microsoft Office, службы Microsoft Office Services ивеб-приложения;
• Azure DevOps;
• ПО с открытым исходным кодом;
• .NET Framework;
• Azure;
• SQL Server;
• ASP.NET;
• Visual Studio;
• Microsoft Exchange Server.

Известные проблемы

Существует ряд известных проблем с различными обновлениями, поэтому ознакомьтесь со статьями базы знаний, перечисленными в разделе «Известные проблемы» в заметках за июль 2019 года на портале Microsoft Security Update Guide.

Критические уязвимости

Ниже перечислены критические уязвимости, устраняемые с помощью обновлений этого месяца:

• CVE-2019-1102 | Уязвимость, допускавшая удаленное выполнение кода GDI+ — эта критическая уязвимость затрагивает все клиентские и серверные версии Windows. Уязвимость, допускавшая удаленное выполнение кода, присутствует в способе обработки объектов в памяти, используемом подсистемой Windows Graphics Device Interface (GDI). Злоумышленник, которому удастся успешно воспользоваться этой уязвимостью, получит контроль над скомпрометированной системой. Затем он сможет устанавливать программы, просматривать, изменять и удалять данные, создавать новые учетные записи с полными правами пользователя. Пользователи, учетные записи которых обладают меньшими правами в системе, могли пострадать не так сильно, как пользователи, обладающие правами администратора.
• CVE-2019-0785 | Уязвимость DHCP-сервера Windows, допускавшая удаленное выполнение кода — она затрагивает Windows Server 2012 R2, Windows Server 2016 и Windows Server 2019. В службе DHCP-сервера Windows Server существует уязвимость, приводящая к повреждению памяти, когда злоумышленник отправляет специально созданные пакеты на DHCP-сервер, предназначенный для обработки отказа. Злоумышленник, успешно воспользовавшийся этой уязвимостью, может выполнить произвольный код на DHCP-сервере, применяемом для обработки отказа, или заставить службу DHCP перестать отвечать на запросы. Чтобы воспользоваться этой уязвимостью, злоумышленник может отправить специально созданный пакет на DHCP-сервер. Однако, чтобы атака была успешной, DHCP-сервер должен находиться в режиме восстановления после сбоя. Это обновление системы безопасности устраняет уязвимость, исправляя способы обработки отказов DHCP-серверами сетевых пакетов.
• CVE-2019-1001, CVE-2019-1004, CVE-2019-1056 и CVE-2019-1059 — это уязвимости, приводящие к повреждению памяти обработчика сценариев в Internet Explorer 11 и Microsoft Edge.
• CVE-2019-1062, CVE-2019-1092, CVE-2019-1103, CVE-2019-1106 и CVE-2019-1107 — это уязвимости, приводящие к повреждению памяти обработчика сценариев Chakra в Internet Explorer 11 и Microsoft Edge.
• CVE-2019-1063 и CVE-2019-1104 — это уязвимости, приводящие к повреждению памяти браузера в Internet Explorer 11 и Microsoft Edge.