Online Tržište

Microsoft će svoju mesečnu zakrpu (patch) objaviti danas a Windows korisnici će sigurno primetiti da se ona odnosi na rešavanje mnogo većeg broja grešaka nego obično. Zakrpa koju bi Microsoft prema najavama trebao objaviti danas, rešiće 57 različite bezbednosnih ranjivosti koji će zahtevati 12 pojedinačnih ažuriranja za popravku.

Zakrpa će ciljati određeni broj različitih aplikacija, uključujući i sam Windows, Windows Server, Exchange, Office, Internet Explorer i .net Framework. Prema navodima koji dolaze iz kompanije Microsoft, 5 od 12 zakrpa klasifikovane su kao kritične, to znači da će se popravljati ranjivosti koje dozvoljavaju hakerima da izvrše zlonamerni kod na računaru korisnika.

Dve kritične zakrpe trebalo bi da poprave bezbednosne propuste koji se odnose na sve verzije Internet Explorer-a, od verzije šest, uključujući Windows 8 i Windows RT.

Microsoft ističe da se jedna zakrpa odnosi na Windows XP, Vista i Server 2003. Posebana zakrpa će biti potrebna onima koji još uvek koriste XP, dok će konačna zakrpa malo bolje zaštititi one koji koriste Exchange.

Ako imate omogućeno automatsko ažuriranje, kritične ispravke će se automatski instalirati na vaš računar tokom današnjeg ili sutrašnjeg dana. Ostatak isprvki, samo onih kategorisanih kao važne, biće potrebno ručno instalirati.

Nakon samo pet dana kompanija Microsoft objavila je hitnu zakrpu za novootkrivenu grešku u Internet Explorer-u, završivši tako posao koji je započet sa privremenom zakrpom objavljenom u utorak. Ova zakrpa sa oznakom MS12-063, popravlja pet nedostataka, uključujući i onaj koji napadačima omogućava da ga koriste za instaliranje trojanca Poison Ivy koji se koristi za krađu podataka ili za daljinsku kontrolu računara.

Početkom sedmice Microsoft je objavio privremenu zakrpu koja se implementira manuelno dok je ova “kumulativna” bezbednosna ispravka sada dostupna svima putem ažuriranja Windows-a. Potrebno je da što pre ažurirate Windows jer se radi o ozbiljnom bezbednosnom propustu u Internet Explorer-u.

Danas smo pokrenuli Security Update MS12-063 kako bi rešili problem napada na manji broja računara preko ranjivosti u Internet Ekplorer 9 i ranijim verzijama,

navodi se u saopštenju kompanije Microsoft.

Iako aktuelni problemi koji proizilaze iz slabosti pojavljuju se manji broj, ozbiljnost potencijalnih padavina bila dovoljno velika da podstakne punu štampu suda iz Microsofta ove nedelje, sa blizu stalnom korporativne komunikacije o svom radu da priključite curenje.

Ovako brzo pojavljivanje ažuriranja iznenadilo je bezbednosne stručnjake koji su tvrdili da će kompaniji Microsoft biti potrebno mesec dana da naprave ovu zakrpu. Stručnjaci sada tvrde da je Microsoft imao ovo ažuriranje već spremno, i da se radi o ažuriranju koje je trebalo biti isporučeno 9. oktobra ali da se zbog medijske pažnje ipak izašlo ranije sa njim.

Security Update MS12-063 se odnosi na sve Windows sisteme, XP, Vista i Windows 7, i utiče na IE6, IE7, IE8 i IE9. Jedini izuzetak je Internet Explorer 10 koji će se pojaviti zajedno sa dugo očekivanim operativnim sistemom Windows 8.

Kompanija Microsoft objavila je privremenu softversku zakrpu za novootkrivenu greške u Internet Explorer-u. Ovo je itekako veliki problem koji utiče na stotine miliona korisnika Internet Explorer-a. Napadači ovu grešku koriste za instaliranje trojanca Poison Ivy koji se koristi za krađu podataka ili za daljinsku kontrolu računara.

Microsoft je brzo reagovao u adresiranju problema saopštivši da je greška otkrivena i da se ubrzano radi na njenoj ispravci.

Takozvane “zero-day”, ili novootkrivene ranjivosti su retke. Bezbednosna kompanija Symantec navodi da je samo osam takvih grešaka registrovano u 2011 godini. One su veoma opasne upravo iz razloga što su nove, jer za njih nema raspoložive zakrpe.

Prema navodima bezbednosnih stručnjaka, ova ranjivost je prisutna kod svih verzija Internet Explorer-a, od Internet Explorer 6 pa do prošlogodišnjeg Internet Explorer 9. Jedini izuzetak je Internet Explorer 10 koji će imati svoj debi u oktobru kada bude predstavljen Windows 8. Sve u svemu, ovo znači potencijalnu opasnost za 53% Internet korisnika.

Microsoft savetuje korisnicima da preuzmu besplatnu zakrpu, Enhanced Mitigation Experience Toolkit (EMET), kao privremeno rešenje dok kompanija ne izađe sa potpunom zakrpom.

Korisnici treba da blokiraju napade sa EMET 3.0, povećaju bezbednosnu zonu u IE na "high" i konfigurišu browser tako da prikazuje upozorenja pre izvršavanja skripti,

saopštio je Microsoft.

Međutim, stručnjaci upozoravaju da korisnici ovu privremenu zakrpu moraju preuzeti i manuelno konfigurisati, što je malo prekomplikovano za mnoge obične korisnike.

EMET je alatka namenjena naprednim korisnicima, koja manuelnim konfigurisanjem omogućava tehnologije koje mogu da se izbore sa ovakvim sigurnosnim propustima kao što su ASLR (address space layout randomization) i DEP (data execution prevention). EMET 3.0 može se preuzeti sa Microsoft-ovog sajta.

Neki bezbednosni stručnjaci savetuju korisnicima da se prebace na neki alternativni pretraživače, kao što su Google Chrome ili Mozilla Firefox dok Microsoft ne zakrpi ovaj propust u svom Internet Explorer-u. Većina stručnjaka smatra da će kompaniji Microsoft biti potrebno najmanje nedelju dana da napravi odgovarajuću ispravku.

WordPress je u petak objavio WordPress 3.3.2 u cilju rešavanja nekoliko ranjivosti na popularnoj platformi za blogovanje kao i u tri eksterne biblioteke koje dolaze u paketu sa njom.

Novi WordPress ažurira Plupload biblioteku na verziju 1.5.4 i tako rešava problem CSRF ranjivosti. Plupload biblioteka pruža podršku raznim funkcionalnostima među kojima su HTML5, Flash, Silverlight, Gears i BrowserPlus. Plupload biblioteka se koristi po podrazumevanoj vrednosti u WordPress-u za upload medijskih datoteka.

Nekoliko bezbednosnih rupa je zakrpljenu i u druge dve biblioteke koje se zovu SWFUpload i SWFObject, koje je WordPress ranije koristio za upload medijskih datoteka i ugradnju Flash-a.

Iako WordPress više ne koristi ove biblioteke one se još uvek isporučuju sa platformom po podrazumevanoj vrednosti da bi se održala kompatibilnost sa starijim temama and plug-ins koji se oslanjaju na njih.

U novoj WordPress verziji rešeni su problemi XSS skripting ranjivosti koje se mogu iskoristi kada se kreira klikabilni URL, kada se filtriraju URL adrese ili kada se preusmerava korisnik nakon slanja komentara u starijim preglednicima.

WordPress je veoma često meta hakera koji pokušavaju da pronađu i iskoriste ranjivosti starijih instalacija za ubrizgavanje zlonamernog koda u sajtove koji koriste ovu najpopularniju blog platformu. Flashback malware koji je nedavno zarazio više od 600.000 Mac računara distribuiran je web napadima preko kompromitovanih WordPress sajtova.

Savet bezbednosnih stručnjaka je da vlasnici web sajtova redovno ažuriraju svoje WordPress instalacije, teme i sve dodatke. WordPress 3.3.2 ažuriranje bi trebalo automatski da se pojavi pod Updates (Ažuriranje) menijem na administrativnoj kontrolnoj tabli, ali korisnici takođe mogu izvršiti i ručno ažuriranje.

Osam od 10 web preglednika korisnika su ranjivi na napade koji dolaze od već zakrpljenih bugova, navode stručnjaci za bezbednost.

Loše stanje krpljenih (patched) pretraživača zapanjili su Wolfgang Kandek-a, prvog čoveka bezbednosti provajdera Qualys, koji je predstavio podatke iz kompanijinog besplatnog BrowserCheck servisa na konferenciji RSA koja se održava u San Francisku.

BrowserCheck skenira Windows, Mac i Linux mašine kako bi identifikovao slabosti pretraživača koje mogu biti iskorištene za napad, kao i 18 plugin-ova za preglednike među kojima se Adobe Flash i Reader-u, Oracle-ova Java i Microsoft Silverlight i Windows Media Player.

Kada se pretraživači i njihovi dodaci uzmu zajedno u obzir, onda dobijamo da je između 65% i 90% svih sistema korisnika skeniranih sa BrowserCheck od juna 2010 godine prijavilo najmanje jedan komponentu kojoj je istekao datum. U januaru 2011 godine, oko 80% mašina su bile ranjive.

Još gore, oko 30% plugin-ova pretraživača su ostali unpatched. Podaci koji se odnose na Windows operativni sistem pokazuju da, u proseku, oko 10% svih računara nikada ne dobiti Microsoft-ove zakrpe.

Najveći problem predstavljaju plugin-ovi, jer ako bi pogledali podatke koji se odnose samo na preglednike vidjeli bi da samo 25% skeniranih mašina ima nezakrpljen preglednik.

Plug-in koji najčešće zahteva patch je Oracle-ova Java, koja je, kako se navodi u podacima, zastarela na više od 40% skeniranih sistema. Adobe Reader je na drugom mestu, sa oko 32% računara koji izveštavaju o ranjivosti verzije. Apple QuickTime je treći, sa nešto manje od 25%.

Wolfgang Kandek navodi da vidi dva rešenja ovoga ne malog problema.

Jedno je postojanje samo jednog update-a a drugo može doći sa najnovijim preglednicima kao što su Firefox 4, IE9 i Chrome koji podržavaju HTML5, web standard koji podržava audio i video obradu, koju sada obavljaju mnogi od najpopularnijih plugin-ova, uključujući Flash, QuickTime i Windows Media Player. Što implicira da bi prelazak više funkcionalnosti na HTML5 pomogao, jer nam onda ne bi trebali plugin-ovi.

Microsoft će u utorak izdati 10 zakrpi za popravak 34 ranjivosti koje utječu na Windows, Office i Internet Explorer.

Šest zakrpi utječe na sustav Windows, dvije od njih su kritične zakrpe ocijenjene od strane Microsofta. Dvije zakrpe su za Office, jedna i za Windows i za Office a jedna kritična zakrpa utječe na Internet Explorer, prema navodima Microsoft Security Response Center u četvrtak.

Microsoft je također rekao da sa lipnjskim zakrpama biti zatvoren Security Advisory 983438, što uključuje ranjivost u SharePoint Services 3.0 i SharePoint Server 2007, ranjivost koja je prikazana krajem travnja i koja bi mogla dovesti do cross-site scripting napada putem preglednika.

Zakrpe također treba da riješe Security Advisory 980088, koji uključuje rupu u IE koja može dopustiti otkrivanje podataka za korisnike preglednika na Windows XP.

Lipanjske zakrpe su velika promjena i držati će sistemske izvršitelje zauzete čak i ako su prešli na Windows 7 (kraj se bliži za Windowse XP SP2 i Windows 7 je svakako jedna od opcija na koju treba da se pređe),

rekao je Wolfgang Kandek, tehnološki direktor u Qualys.

Photoshop korisnici željeli su proširiti mogućnosti softvera tako što su preuzimali nove alate ali se to ispostavilo kao mogućnost za potencijalni napad.

Adobe Systems je u srijedu izdao Photoshop 11.0.2 sigurnosni update za  Photoshop CS4, za Windows i za Mac OS X verzije da bi zatvorili potencijalne izvore napada.

Kritična ranjivost je identificirana u Photoshop CS4 11.0.1 i ranije verzije i za Windows i za Macintosh koje bi omogućile napadaču koji uspješno iskorištava te slabosti da preuzmu kontrolu nad pogođenim sustavom. Zlonamjerne .ASL, .ABR ili .GRD datoteke moraju biti otvorene u Photoshop CS4 od strane korisnika za napadača da bi bile u mogućnosti da iskoriste te ranjivosti,

izjavio je Adobe.

.ASL, .ABR ili .GRD datoteke odnose se na swatch-evi, brush-pvo i gradient-i. Novi Photoshop CS5 nije pogođen ovim problemom.

Microsoft će zakrpiti 26 rupa sledeće nedelje, uključujući i one kritične za Windows, jednu koja utiče na rad jezgra 32-bitne verzije, kao i nekoliko rupa u Office-u, izjavila je kompanija u četvrtak.

Kako je rečeno, 5 od 13 utiču na ranjivost koja može dovesti do daljinskog izvršenja koda i one su ocenjene kao kritične a utiču na Windows 2000, XP, Vista i Windows 7 operativne sisteme, kao i na Server 2003 i 2008, Office XP, Office 2003 i Office 2004 za Mac.

Džeri Brajant, viši menadžer za bezbednost komunikacija u kompaniji Microsoft, napisao je u blogu:

U međuvremenu, Microsoft neće rešavati druga dva pitanja, rupu u Internet Explorer-u koja bi mogla dovesti do curenja podataka i koja je obelodanjena u sredu, i rupa u Server Message Block-u protokola za deljenje datoteka koja je obelodanjena u novembru.

napisao je Brajant.