Minden idők legnagyobb Microsoft frissítése és az első kritikus W7 patch

A tegnapi nap során összesen 34 sérülékenységhez jelentetett meg update-eket szokásos, minden hónap második keddjén esedékes patch-ciklusában a Microsoft. Ezzel rekordot döntött a fejlesztő – soha ennyi sebezhetőség javítása nem jelent meg még egyszerre. Emellett egy másik elsőséget is magáénak mondhat az októberi Patch Tuesday: most jelent meg először kritikus fontosságú frissítés a boltok polcaira még fel sem került Windows 7-hez.

Redmond legújabb operációs rendszere két patch-et is kapott, mindkettő kritikus fontosságúnak bizonyult. Kihasználásával ugyanis egy támadó elérheti, hogy tetszőleges – nyilvánvalóan a megtámadott számára ártalmas – kód futhasson a célpont PC-n. Ehhez rá kell vennie a gyanútlan internetezőt, hogy egy ártó szándékkal meglátogatott weboldalra ellátogasson. Ez a sérülékenység az Internet Explorer kumulatív javításával tűnik el a rendszerből, míg a másik W7 hiba a .Net Frameworkben és a Silverlightban (volt) megtalálható.

Azonban nem ez, hanem az a három SMB javítás a legfontosabb a sorban, melyek úgynevezett nulladik napi hibákat szüntetnek meg. a Server Message Blockban található rések az otthoni felhasználókat közvetlenül ugyan nem érintik, az online támadók viszont már a szükséges patch-ek megjelenése előtt megkezdték a hiányosságok saját céljaikra való kiaknázását (ezért hívják nulladik napi, avagy zero-day sérülékenységnek). Amennyiben egy cyberbűnöző a megfelelő ismeretek birtokában sikerrel jár, akkor a célpont szerveren átveheti az ellenőrzést, és ott gyakorlatilag bármit megtehet, amire egy rendszergazdai jogosultsággal képes lehet a felhasználó.

Kritikus frissítést kapott még a Windows Media Runtime, amely ártó szándékú médiaállomány révén volt sebezhető. Ennek érdekessége, hogy webes videofolyam (streaming) képében is veszély leselkedhetett az update-et nem telepítő felhasználóra. Kumulatív (kritikus minősítésű) javítást kapott az ActiveX Kill Bit is, amely ActiveX vezérlőkön keresztül volt támadható. Az előzőekhez hasonló fontosságú patch-et adott ki a Microsoft a Windows GDI+ interfészhez (Graphics Device Interface), amely ártalmas képfile-okon keresztül jelentett veszélyt az Internetet böngészőkre.

Öt, fontos besorolást kapott frissítés is megjelent, amelyek például az IIS-t és a Windows CryptoAPI hibáit iktatják ki.

Az érintett alkalmazások listája: Windows 7; Windows 2000; Windows XP; Windows Vista; Server 2003 és 2008; Office XP, 2003, és 2007; Microsoft Office System; SQL Server 2000 és 2005; Silverlight; Visual Studio .Net 2003; Visual Studio 2005 és 2008; Visual FoxPro 8.0 és 9.0; Microsoft Report Viewer 2005 és 2008; Forefront Client Security 1.0; és az Office szoftverek közül a következők: Visio, Project, Word Viewer illetve a nemrég halálraítélt Works.