Patch Tuesday: Security the Focus as Microsoft, Oracle Patch Bugs

Pakar keselamatan mengatakan bahawa kemaskini Internet Explorer, yang membetulkan enam bug dalam pelayar, adalah yang mesti ditonton. Ini kerana ia diberi nilai kritikal untuk pengguna Internet Explorer 6 yang menjalankan Windows XP - konfigurasi yang sangat biasa di perusahaan.

[Bacaan lanjut: Bagaimana untuk membuang malware dari PC Windows Anda]

Tetapi pelanggan yang menjalankan Windows Active Direktori pada mesin Windows 2000 yang lebih lama harus memindahkan kemas kini Active Directory MS08-060 ke bahagian atas baris giliran mereka, kata Don Leatham, pengarah penyelesaian dan strategi di Lumensi Keselamatan. Oleh kerana pelayan Direktori Aktif boleh digunakan untuk menetapkan keizinan pada mesin lain dan mengurus pengguna di rangkaian, mengambil alih mesin ini "akan menjadi Grail Suci bagi seseorang yang cuba masuk ke dalam syarikat dan benar-benar mengganggunya," katanya. > Biasanya, pelayan Direktori Aktif disekat di firewall, yang bermaksud penyerang mungkin perlu berada di rangkaian dalaman untuk melancarkan serangan, kata Eric Schultze, ketua pegawai teknologi dengan Shavlik Technologies. Namun, bug itu bermaksud pengguna yang tidak bertanggungjawab, dapat mengawal sepenuhnya domain dan pengendali domain Windows 2000, "katanya melalui pesan segera.

Mengurangi masalah ini, bagaimanapun, adalah kenyataan bahwa Microsoft tidak memiliki laporan apa pun kerentanan telah dieksploitasi dalam serangan. Walaupun kemungkinan penyerang itu dapat merosakkan mesin Windows 2000 dengan memanfaatkan bug ini, "mewujudkan kod eksploitasi yang berfungsi untuk memanfaatkan pelaksanaan kod jauh sulit," kata Microsoft dalam nota pada laman webnya.

Secara keseluruhan, 20 bug keamanan telah ditetapkan dalam 11 kemas kini Microsoft. Terdapat juga enam kemas kini yang kurang kritikal, diberi nilai "penting" oleh Microsoft, untuk pelbagai komponen Windows, dan patch "sederhana" yang membetulkan pepijat yang boleh membiarkan penyerang mengintip maklumat daripada pengguna Office.

Kemas kini keselamatan Oracle, dijangka pada pukul 1 petang Masa Pasifik, termasuk perbaikan untuk 36 pepijat dalam pelbagai produk Oracle, termasuk pangkalan data pangkalan syarikat, Server Aplikasi, E-Perniagaan Suite, dan alat dan alat pembangunan WebLogic. Pembetulan bug juga dirancang untuk produk syarikat JD Edwards dan PeopleSoft.

Tidak biasa bagi Microsoft dan Oracle untuk menolak patch pada hari yang sama. Kemas kini keselamatan Microsoft dikeluarkan pada Selasa kedua setiap bulan, yang dikenali sebagai Patch Selasa dalam industri. Tetapi patch Oracle adalah urusan suku tahunan, yang dihantar pada hari Selasa terdekat pertengahan bulan ini. Biasanya, yang meletakkan patch Oracle pada Selasa ketiga bulan itu, tetapi bulan ini, tarikh pelepasan Microsoft dan Oracle berkumpul.

Kemas kini Microsoft Selasa datang dengan sedikit lagi maklumat untuk pelanggan syarikat itu. Mereka termasuk seksyen baru yang dikenali sebagai "Indeks Pengeksploitasian," yang direka untuk memudahkan pengguna Windows mengetahui bahawa bug yang paling mungkin dieksploitasi oleh penggodam.

Microsoft kini menilai semua kemaskini keselamatannya dengan huraian berikut

Syarikat itu mengatakan bahawa kod eksploitasi mungkin untuk bug dalam Internet Explorer kritis, Pelayan Integrasi Host Microsoft dan kemas kini Excel. Salah satu bug Internet Explorer, yang boleh membiarkan penyerang mendapat keistimewaan tinggi pada mesin Windows, telah didedahkan secara terbuka, tetapi tidak difikirkan telah digunakan dalam serangan dunia nyata, kata Microsoft.

Satu lagi yang pertama: Microsoft memberi rakan keselamatan tertentu akses awal kepada kemas kininya pada bulan ini supaya mereka dapat melancarkan serangan ke dalam perisian mereka ketika patch dikeluarkan pada hari Selasa.