Новости » Безопасность » Ноябрьское обновление от MS

Ноябрьское обновление от MS

Компания Microsoft выпустила ноябрьский пакет обновлений безопасности для своих программных продуктов. Всего в рамках обновления было опубликовано три бюллетеня безопасности для Microsoft Office, Microsoft PowerPoint и Microsoft Forefront.

Наибольшего внимания заслуживает бюллетень безопасности MS10-087, описывающий критическую уязвимость в Microsoft Office всех версий. Причиной критической уязвимости (CVE-2010-3333) стал морально устаревший алгоритм разбора RTF-документа, в результате уязвимости которого, злоумышленникам представилась возможность выполнить произвольный программный код и получить контроль над уязвимой системой. Наибольшую опасность эта уязвимость представляет пользователям программ Microsoft Office версии 2007 и 2010. Кроме уязвимости в RTF-документе, бюллетень безопасности MS10-087 описывает четыре «существенных» уязвимости в Microsoft Office. К этим уязвимостям относятся: CVE-2010-3334, CVE-2010-3335, CVE-2010-3336 — возможность выполнения произвольного программного кода через специально сформированный документ Office; CVE-2010-3337 — небезопасное использование DLL-файла («pptimpconv.dll») в Microsoft Office 2007 и 2010, позволяющее злоумышленнику выполнить его подмену, тем самым спровоцировать выполнение произвольных команд.
Бюллетень MS10-088 закрывает две (CVE-2010-2572 и CVE-2010-2573) уязвимости в программе просмотра и создания презентаций Microsoft PowerPoint. Обе уязвимости позволяют злоумышленнику выполнить произвольный программный код в результате переполнения буфера, вызванного специально сформированным файлом презентации. Для уязвимости CVE-2010-2572 ошибки, вызывающие переполнение буфера, связаны с разбором файла старого формата — PowerPoint 95.
Четыре уязвимости в компоненте Unified Access Gateway (UAG) системы обеспечения доступа к корпоративной сети Microsoft Forefront закрывает пакет обновления, описываемый бюллетенем безопасности MS10-089. Закрываемые уязвимости CVE-2010-2733, CVE-2010-2734 и CVE-2010-3936 связаны с возможностью проведения XSS-атаки, а уязвимость CVE-2010-2732 позволяла злоумышленнику внедрить скрипт, выполняющий подмену данных или их перенаправление на сторонний ресурс.
Все обновления доступны на веб-сайтах компании Microsoft и через системы автоматического обновления. Незакрытой осталась уязвимость CVE-2010-3962, описанная в бюллетене безопасности KB2458511, которой подвержены все версии Internet Explorer. В результате ошибок обработки параметров CSS-стиля, возможно выполнение произвольного программного кода. Однако, компания Microsoft выпустила временное решение Fix it, для устранения этой уязвимости.