A Microsoft egy előzetes tájékoztatóban már korábban jelezte, hogy ebben a hónapban is tekintélyes mennyiségű frissítéssel kell számolni. A cég beharangozójának megfelelően valóban nem kevés sebezhetőség megszüntetésére került sor, ráadásul ezek egy jelentős része komoly kockázatokat hordoz.
Az augusztusi közlemények közül öt kritikus veszélyességi besorolást kapott, amely egyben azt is jelenti, hogy az ezekben ismertetett sérülékenységek kihasználásával a támadók távolról, teljes mértékben átvehetik az érintett rendszerek feletti irányítást. A többi sebezhetőség a fontos veszélyességi kategóriába tartozik.
A Microsoft e havi frissítésének lényeges jellemzője, hogy a legtöbb folt a Windows operációs rendszerhez, illetve annak összetevőihez készült. A kilencből mindössze egy foglalkozik olyan biztonsági résekkel, amelyek a Microsoft Office, Visual Studio, ISA Server és a BizTalk Server kapcsán merültek fel.
A Microsoft hibajavításai a cég weboldalairól tölthetők le, vagy az automatikus frissítési funkciók segítségével telepíthetők. Az Isidor Biztonsági Központ a frissítések mielőbbi telepítését javasolta.
A Microsoft augusztusi közleményei a következők:
MS09-036 (fontos)
A Microsoft közleménye szerint az ASP.NET kapcsán egy olyan sebezhetőségre derült fény, amely szolgáltatásmegtagadási támadásokat segíthet. Ennek az az oka, hogy a támadók összeállíthatnak olyan HTTP-kéréseket, amelyek a webes kérések feldolgozását megakadályozhatják, és így a webszerver megbénulásához vezethetnek. Ekkor - a közleményhez tartozó hibajavítások telepítése nélkül - csak akkor lesz képes újra üzemelni a kiszolgáló, ha az érintett alkalmazáskészlet újraindítása megtörténik. Biztonsági kockázattal csak akkor kell számolni, ha az IIS 7.0 aktív, és azon valamely alkalmazáskészlet nem klasszikus módban fut. A sérülékenység miatt a Windows Vista valamint a Windows Server 2008 operációs rendszerek esetében van szükség frissítésre.
MS09-037 (kritikus)
A Microsoft az ATL (Active Template Library) kapcsán ismét biztonsági javításokra kényszerült. Ezúttal különböző memória-, objektum- és típuskezelési problémákat orvosolt. Az egyik sebezhetőség pedig a Microsoft Video ActiveX vezérlőben található. A sérülékenységek kihasználásával a támadók jogosulatlan távoli műveleteket hajthatnak végre a rendszereken, amelyek felett a teljes irányítást is átvehetik. A frissítések olyan szoftvereket és összetevőket is érintenek, mint például az Outlook Express, a Media Player és az MSWebDVD ActiveX. Foltozásra az összes jelenleg támogatott Windows verzió esetében szükség van.
MS09-038 (kritikus)
A Windows Media fájlkezelésében két súlyos sérülékenység található. Ezek közös jellemzője, hogy mindegyik speciálisan szerkesztett AVI-állományok révén használható ki. Amennyiben a felhasználó megnyit egy ilyen fájlt, akkor a támadóknak kártékony kódok jogosulatlan távoli futtatására is lehetőségük nyílhat, majd akár az egész rendszer feletti irányítást is átvehetik. Az egyik biztonsági rést a nem megfelelő AVI header feldolgozás, míg a másikat egy puffertúlcsordulási hiba okozza. A sebezhetőségek miatt a Windows 2000, XP, Vista, a Windows Server 2003 valamint a Windows Server 2008 operációs rendszerek frissítése is fontos.
MS09-039 (kritikus)
A Microsoft közleménye szerint a WINS (Windows Internet Name Service) esetében két biztonsági problémára derült fény, amelyek mindegyike puffertúlcsordulási hibára vezethető vissza. Az egyik sérülékenységet a pufferméret pontatlan meghatározása okozza, míg a másik a WINS hálózati csomagok adatstruktúrájának esetenkénti nem megfelelő ellenőrzésével magyarázható. A biztonsági rések révén az érintett rendszerekhez való jogosulatlan hozzáférésre valamint kódfuttatásra adódhat mód. A sebezhetőségek a Windows 2000 Server és a Windows Server 2003 operációs rendszereket érintik.
MS09-040 (fontos)
A Windows Message Queuing (MSMQ) szolgáltatás sérülékenysége jogosulatlan, lokális kódfuttatást tehet lehetővé az érintett rendszerek esetében. A szolgáltatás hibája az IOCTL-kérések nem megfelelő feldolgozására, illetve ellenőrzésére vezethető vissza. Az MSMQ ugyanis nem vizsgálja megfelelően a bemeneti adatokat mielőtt azokat egy pufferbe továbbítja. A sebezhetőség a Windows 2000, XP, Vista valamint a Windows Server 2003 operációs rendszerek esetében okozhat biztonsági problémákat.
MS09-041 (fontos)
A Windows Workstation Service (Munkaállomás szolgáltatás) egy olyan biztonsági rést tartalmaz, amelynek kihasználásával a támadók emelt szintű jogosultságokhoz juthatnak hozzá, majd tetszőleges kódokat futtathatnak le az érintett rendszereken. A sérülékenység kihasználásához arra is szükség van, hogy a támadó érvényes hozzáféréssel rendelkezzen a kiszemelt számítógéphez. A sebezhetőség miatt a frissítés a Windows XP, a Windows Vista, a Windows Server 2003 valamint a Windows Server 2008 operációs rendszerek esetében is indokolt.
MS09-042 (fontos)
A biztonsági közlemény szerint a Microsoft Telnet szolgáltatás egy közepes veszélyességű sérülékenység miatt egyes esetekben kockázatot jelenthet. A Microsoft szerint a hiba csak akkor használható ki, ha a támadó valamilyen úton-módon be tud jelentkezni a rendszerekbe. Ezt követően azonban felhasználói jogosultságokat módosíthat, illetve különféle jogosulatlan műveleteket hajthat végre. A hiba a Windows 2000, XP, Vista, a Windows Server 2003 valamint a Windows Server 2008 operációs rendszerek esetében is kimutatható.
MS09-043 (kritikus)
A Microsoft tájékoztatója szerint az Office Web Components ActiveX vezérlő négy súlyos sebezhetőséget tartalmaz, amelyek elsősorban speciálisan szerkesztett weboldalak révén használhatók ki. Amennyiben ez sikerül a támadók számára, akkor jogosulatlan távoli kódfuttatásra nyílhat lehetőségük. Az AcitveX vezérlő sérülékenysége puffertúlcsordulási, memóriaallokációs valamint HTML-kezelési problémákra vezethető vissza. A sebezhetőségek miatt a Microsoft Office XP, Office 2003, az Internet Security and Acceleration (ISA) Server, a BizTalk Server 2002 valamint a Microsoft Visual Studio .NET 2003 frissítésére is szükség van.
MS09-044 (kritikus)
A Windows operációs rendszerekben található, távoli asztali kapcsolatok kezelését végző összetevők két sebezhetőséget rejtenek. Az egyik egy puffertúlcsordulási hibára vezethető vissza, amelyet egyes, RDP-szerverektől kapott paraméterek nem megfelelő feldolgozása okoz. A másik pedig a Microsoft Terminal Services Client ActiveX vezérlő esetében van jelen, és speciálisan szerkesztett weboldalak révén használható ki. Mindkét sérülékenység lehetőséget biztosíthat a támadók számára, hogy átvegyék az irányítást az érintett rendszerek felett. A biztonsági rések a Windows 2000, XP, Vista valamint a Windows Server 2003 és a Windows Server 2008 operációs rendszerek esetében is kockázatot jelentenek.
A hír a Computerworld Biztonság rovatában jelent meg.
