В мае мы выпустили исправления, устраняющие уязвимости безопасности, которые были обнаружены в апреле. Как обычно, вышедшие в этом месяце обновления от Microsoft подробно описаны на портале обновлений для системы безопасности (Security Update Guide). Здесь перечислены более 2000 пунктов для выпусков от 14 мая, хотя, разумеется, многие из них повторяют рекомендации и записи CVE, относящиеся к различным операционным системам.

Как обычно, исправления систем безопасности выпущены для всех поддерживаемых в настоящее время клиентских и серверных версий Windows. Мы даже выпустили обновление для операционной системы Windows XP, которая официально больше не поддерживается Microsoft.

Перед установкой этих обновлений рекомендуем ознакомиться со списком обнаруженных проблем, хотя он и достаточно велик. Этот список находится в разделе Примечания к выпуску на сайте MSRC.

Как всегда, обновлено средство удаления вредоносных программ (MSRT), которое содержит последние определения вредоносных программ.

Рекомендации по безопасности

В этом месяце во «вторник обновлений» были выпущены следующие рекомендации по безопасности:

• ADV190012 | Обновление безопасности для Adobe Flash за май 2019 г. (бюллетень безопасности Adobe APSB19-26: CVE-2019-7837) исправляет критическую уязвимость в Adobe Flash Player, связанную с использованием памяти после ее освобождения. Результатом успешной эксплуатации этой уязвимости могло стать выполнение произвольного кода в контексте текущего пользователя. 
• ADV190013 | Рекомендации Microsoft по устранению уязвимостей Microarchitectural Data Sampling (MDS). 14 мая 2019 г. корпорация Intel опубликовала сведения о новом подклассе уязвимостей спекулятивного исполнения побочного канала. К этим уязвимостям относятся: CVE-2018-12126 — Microarchitectural Store Buffer Data Sampling (MSBDS), CVE-2018-12130 — Microarchitectural Fill Buffer Data Sampling (MFBDS), CVE-2018-12127 — Microarchitectural Load Port Data Sampling (MLPDS) и CVE-2018-11091 — Microarchitectural Data Sampling Uncacheable Memory (MDSUM). Злоумышленник, которому удастся успешно воспользоваться этими уязвимостями, сможет прочитать привилегированные данные за границами доверия. В средах с общими ресурсами (наподобие тех, что существуют в конфигурациях ряда некоторых облачных сервисов) эти уязвимости позволяли одной виртуальной машине получить неправомерный доступ к данным другой.
  Обновления операционной системы, ее компонентов и браузера

Клиентские операционные системы Windows

В этом месяце выпущены исправления для 29 уязвимостей в Windows 10. Хорошая новость — только одна из этих уязвимостей является критической. Также вышли исправления для 23 уязвимостей в Windows 7 и Windows 8.1 (при этом в Windows 8.1 только одна критическая уязвимость, а в Windows 7 — две). Все уязвимости, которые не считаются критическими, классифицируются как важные.

• KB4499175 — только обновление системы безопасности для Windows 7 (с пакетом обновления 1);
• KB4499164 — ежемесячный накопительный пакет обновлений для Windows 7 (с пакетом обновления 1) и Windows 8.1;
• KB4499165 — обновление только для системы безопасности Windows 8.1;
• KB4499151 — ежемесячный накопительный пакет обновлений для Windows 8.1;
• KB4499181 — обновление для Windows 10 версии 1703;
• KB4499179 — обновление для Windows 10 версии 1709;
• KB4499167 — обновление для Windows 10 версии 1803;
• KB4494441 — обновление для Windows 10 версии 1809.

Серверные операционные системы Windows Server

В Windows Server 2019 устранено в общей сложности 30 уязвимостей (две из них — критические). В Windows Server 2016 устранено 28 уязвимостей (две из них — также критические). Выпущены обновления, исправляющие 24 уязвимости в Windows Server 2008 R2 и Windows Server 2012 R2 (в первой из них — три критические уязвимости, во второй — две). Все уязвимости, которые не считаются критическими, классифицируются как важные.

Обновления для серверных ОС Windows Server описываются в следующих статьях базы знаний:

• KB4474419 — обновление для поддержки подписывания кода с использованием SHA-2 в Windows Server 2008 и Windows Server 2008 R2;
• KB4499149 — ежемесячный накопительный пакет исправлений системы безопасности для Windows Server 2008 (май 2019 г.);
• KB4499158 — только исправление системы безопасности для Windows Embedded 8 Standard и Windows Server 2012 (май 2019 г.);
• KB4499171 — ежемесячный накопительный пакет исправлений системы безопасности для Windows Embedded 8 Standard и Windows Server 2012 (май 2019 г.);
• KB4499180 — только исправление системы безопасности для Windows Server 2008 (май 2019 г.).

Браузеры Microsoft

Как обычно, был устранен ряд проблем с безопасностью в двух браузерах Microsoft. Для Internet Explorer 11 выпущены исправления, устраняющие восемь уязвимостей (пять из них — критические). Для Edge выпущены обновления, устраняющие 14 уязвимостей (11 из них признаны критическими). Девять из них — это проблемы в обработчике сценариев Chakra, связанные с нарушением целостности данных в памяти.

• KB4498206 — накопительное обновление системы безопасности для Internet Explorer.

Прочие программные решения и службы

В этом месяце во «вторник обновлений» были выпущены обновления не только для операционных систем и веб-браузеров, но и для следующих продуктов:

• Adobe Flash Player;

• Microsoft Office, Microsoft Office Services и Web Apps;

• Team Foundation Server;

• Visual Studio;

• Azure DevOps Server;

• SQL Server;

• .NET Framework;

• .NET Core;

• ASP.NET Core;

• ChakraCore;

• Online Services;

• Azure;

• NuGet;

• Skype для Android.

Критические уязвимости

• CVE-2019-0903 Уязвимость GDI+, допускавшая удаленное выполнение кода. Уязвимость, допускавшая удаленное выполнение кода, присутствует в способе обработки объектов в памяти, используемом подсистемой Windows Graphics Device Interface (GDI). Злоумышленник, которому удастся успешно воспользоваться этой уязвимостью, получит контроль над скомпрометированной системой.
• CVE-2019-0708 Уязвимость в службах удаленных рабочих столов, допускавшая удаленное выполнение кода. В службах удаленных рабочих столов (ранее называвшиеся службами терминалов) существует уязвимость, допускающая удаленное выполнение кода: не прошедший проверку подлинности злоумышленник может подключаться к целевой системе по протоколу RDP и отправлять специальным образом сформированные запросы. Эта уязвимость существует до проверки подлинности и не требует взаимодействия с пользователем. Злоумышленник, которому удастся успешно воспользоваться этой уязвимостью, сможет запустить выполнение произвольного кода в целевой системе.
• CVE-2019-0725 Уязвимость в DHCP-сервере Windows, допускавшая удаленное выполнение кода. В службе DHCP-сервера Windows существует уязвимость, связанная с нарушением целостности данных в памяти. Она проявляется при обработке специальным образом сформированных пакетов. Злоумышленник, которому удастся успешно воспользоваться этой уязвимостью, сможет запустить выполнение произвольного кода на DHCP-сервере.
• CVE-2019-0884 Уязвимость в обработчике сценариев, связанная с нарушением целостности данных в памяти. Уязвимость, допускающая удаленное выполнение кода, присутствует в способе обработки объектов в памяти, который используется обработчиком сценариев в браузерах Microsoft. Эта уязвимость могла повредить данные в памяти таким образом, что злоумышленник мог запустить выполнение произвольного кода в контексте текущего пользователя. Злоумышленник, которому удастся успешно воспользоваться этой уязвимостью, сможет получить те же права, что и текущий пользователь.
• CVE-2019-0911 Уязвимость в обработчике сценариев, связанная с нарушением целостности данных в памяти. Уязвимость, допускающая удаленное выполнение кода, присутствует в способе обработки объектов в памяти, который используется обработчиком сценариев в браузерах Microsoft. Эта уязвимость могла повредить данные в памяти таким образом, что злоумышленник мог запустить выполнение произвольного кода в контексте текущего пользователя.
• CVE-2019-0918 Уязвимость в обработчике сценариев, связанная с нарушением целостности данных в памяти. Уязвимость, допускающая удаленное выполнение кода, присутствует в способе обработки объектов в памяти, который используется обработчиком сценариев в браузерах Microsoft. Эта уязвимость могла повредить данные в памяти таким образом, что злоумышленник мог запустить выполнение произвольного кода в контексте текущего пользователя.
• CVE-2019-0929 Уязвимость в браузере Internet Explorer, связанная с нарушением целостности данных в памяти. Уязвимость, допускающая удаленное выполнение кода, возникает, когда Internet Explorer неправильно обращается к объектам в памяти. Эта уязвимость могла повредить данные в памяти таким образом, что злоумышленник мог запустить выполнение произвольного кода в контексте текущего пользователя.
• CVE-2019-0940 Уязвимость в браузере Microsoft, связанная с нарушением целостности данных в памяти. Уязвимость, допускающая удаленное выполнение кода, присутствует в способе обращения к объектам в памяти, который используется браузерами Microsoft. Эта уязвимость могла повредить данные в памяти таким образом, что злоумышленник мог запустить выполнение произвольного кода в контексте текущего пользователя.
• CVE-2019-0915 Уязвимость в обработчике сценариев Chakra, связанная с нарушением целостности данных в памяти. Уязвимость, допускающая удаленное выполнение кода, присутствует в способе обработки объектов в памяти, который используется обработчиком сценариев Chakra в браузере Microsoft Edge. Эта уязвимость могла повредить данные в памяти таким образом, что злоумышленник мог запустить выполнение произвольного кода в контексте текущего пользователя.

Сегодняшние обновления также устраняют следующие уязвимости в обработчике сценариев Chakra, связанные с нарушением целостности данных в памяти: CVE-2019-0916, CVE-2019-0917, CVE-2019-0922, CVE-2019-0924, CVE-2019-0925, CVE-2019-0927, CVE-2019-0933, CVE-2019-0937.