Вторник патчей (ноябрь 2020): Исправлено 112 уязвимостей безопасности

На этот раз компания исправила 112 уязвимости безопасности во многих своих продуктах, начиная от браузера Edge и заканчивая службой WalletService.

В ноябре 2020 года Редмонд исправил одну уязвимость нулевого дня, случаи эксплуатации которой были зарегистрированы. Уязвимость с идентификатором CVE-2020-17087 была раскрыта 30 октября командами безопасности Google Project Zero и TAG. Google сообщает, что обнаруженная проблема безопасности эксплуатировалась в реальных условиях наряду с уязвимостью нулевого дня в Chrome при атаках на целевые системы Windows 7 и Windows 10.

Злоумышленники использовали уязвимость в Chrome для запуска вредоносного сценария, а затем использовали уязвимость в Windows, чтобы выйти из изолированной безопасной среды Chrome и повысить привилегии кода для атаки на основную ОС. Подробности данной атаки не разглашаются.

Уязвимость была обнаружена примерно в середине октября, и у Microsoft было 7 дней для подготовки патча. Однако, компания не уложилась в данный срок неразглашения информации, потому что для разработки и тестирования исправления безопасности для такого крупного продукта, такого как ОС требуется больше времени. В итоге исправление стало доступно только с 10 ноября 2020 года.

Microsoft предупреждает, что уязвимость CVE-2020-17087 находится в ядре Windows и затрагивает все поддерживаемые в настоящее время версии Windows, в том числе все версии Windows после Windows 7 и все дистрибутивы Windows Server.

Кроме данной уязвимости нулевого дня, Microsoft исправила 111 других уязвимостей, в том числе 24 проблем безопасности, которые могут допускать атаки удаленного выполнения кода (RCE). Они обнаружены в таких приложениях, как Excel, Microsoft Sharepoint, Microsoft Exchange Server, сетевая файловая система Windows, компонент Windows GDI +, служба диспетчера очереди печати Windows и даже Microsoft Teams.

Хотя поспешная установка исправлений является безопасным подходом для большинства пользователей, системным администраторам крупных корпоративных сетей рекомендуется протестировать исправления перед широким развертыванием, чтобы избежать потенциальных ошибок, нарушающих работу внутренних систем.

Дополнительная информация по Вторнику патчей

• На официальном портале Security Update Guide все обновления безопасности перечислены в таблице с сортировкой.
• На прошлой неделе Adobe выпустила обновления безопасности для Adobe Acrobat и Reader.
• Intel выпустила обновления безопасности.
• VMWare выпустила обновления безопасности для своих продуктов.
• Chrome 86 получил обновления безопасности.
• Доступны обновления безопасности для Android, включая Android 10 и Android 11.