Microsoft Fixes IE ، Office في الشهر الكبير من تحديثات الأمان

أصدرت Microsoft رقعًا لإصلاح 19 نقطة ضعف حرجة في برامجه الثلاثاء ، بما في ذلك خمس عيوب في متصفح Internet Explorer الذي نصح خبراء الأمان لمشرفي تقنية المعلومات بالتصحيح على الفور.

إجمالي 11 أمانًا التحديثات التي تم إصدارها في شهر أغسطس هي أكبر جولة من تحديثات "الثلاثاء الثلاثاء" التي أطلقتها مايكروسوفت منذ فبراير الماضي ، ومن المفترض أن تمنح مسؤولي تقنية المعلومات الكثير من الجهد لتأمين أنظمة شركاتهم. يقول جيسون ميلر ، قائد فريق البيانات الأمنية في شركة شافليك تكنولوجيز ، وهي مزوّد لبرامج إدارة التصحيح في سانت بول ، بولاية مينيسوتا: "سيصبح الناس مشغولين للغاية بهذا الحمل".

ستة من الرقع التي يمكن العثور عليها على موقع Microsoft على ويب ، يتم تصنيفها على أنها هامة ، بينما يتم تصنيف خمسة على أنها مهمة.

[المزيد من القراءة: كيفية إزالة البرامج الضارة من جهاز كمبيوتر يعمل بنظام Windows]

ذكر Miller وغيره من خبراء الأمان نشرة أمان Microsoft MS08-045 ، التحديث الأمني ​​التراكمي لـ Internet Explorer ، كأولوية بين مجموعة التحديثات لهذا الشهر. يحدّث التحديث خمسة نقاط ضعف تم الإبلاغ عنها بشكل خاص وأخرى تم الكشف عنها علنًا ولأي كود هجوم موجود بالفعل ، مما يجعله عيبًا في يوم الصفر.

قال دون ليتهام ، مدير الحلول والإستراتيجية لشركة Lumension Security ، أن ثغرات IE تؤثر على HTML (لغة توصيف النص التشعبي) هو سبب كاف لجعل الترقيع لهم ذو أهمية قصوى ، بما أن فرصة الاستغلال كبيرة للغاية. "كل موقع على شبكة الإنترنت في العالم يستخدم HTML ،" قال. يوفر Lumension ، ومقره في Scottsdale بولاية أريزونا ، برامج وخدمات إدارة التصحيح والتعرض للإصابة بالخطر

Shavlik's Miller قال أن بقع IE والتحديثات الهامة الأخرى التي تم إصدارها يوم الثلاثاء والتي تعمل على إصلاح ثغرة أمنية في عنصر تحكم ActiveX لـ Snapshot Viewer لـ Microsoft Access - - MS08-041 - ترتبط لأن كلاهما يسمح للمهاجم بإنشاء موقع ويب يستفيد من نقاط الضعف هذه. وقد أدرجها كلاهما كأولويات للتركيب الفوري. وقال المشاهد: "إن المشاهد سيشارك المعلومات مع الشركاء والزبائن والداخليين نظراً لشعبية مجموعة Office ومقدار الشركات التي تستخدم" Access ".

تحديث يعمل على إصلاح ثغرة أمنية في نظام إدارة ألوان الصور في Microsoft Windows - MS08-046 - ينبغي أيضا تثبيت على الفور لأنه قد يسمح للهجوم إذا انتقل مستخدم إلى صفحة ويب ومشاهدة رسم معين ، وقال الباحثون. "يعتبر نظام إدارة الألوان جزءًا من النظام الفرعي الرسومي لنظام Windows.

" نظرًا لأن [الثغرة الأمنية] مستندة إلى الويب ورسوم بيانية ، فأنت بالتأكيد تريد أن تولي اهتمامًا خاصًا لذلك "، هذا ما قاله ليتهام. يجب أن يكون هناك اهتمامان مهمان لمتخصصي تكنولوجيا المعلومات في اثنين من التحديثات التي تم تقييمها على أنها هامة أيضًا ، حتى إذا صنفتها Microsoft تحت التحديثات الهامة. وهي MS08-047 ، التي تعمل على إصلاح ثغرة أمنية في معالجة نهج IPsec ، و MS08-50 ، التي تقوم بتصحيح خلل في Messenger.

على الرغم من أن Microsoft لا تقيم العيوب التي تسمح بالكشف عن المعلومات على أنها حرجة ، فإن ثغرة أمن بروتوكول الإنترنت IPsec ، يمكن أن يحول ما يعتقده الناس بأنهم أنفاق معلومات مشفرة موثوقة إلى اتصالات نصية مفتوحة ، يمكن أن تصبح كذلك لشركات معينة تستخدم IPsec بشكل مكثف لنقل البيانات الهامة ، مثل منظمات الرعاية الصحية التي تعمل مع معلومات سرية للمرضى ، حسبما قال ليثام.

وبالمثل ، فإن Microsoft لم يتم تصنيف ثغرة Messenger باعتبارها حرجة لأنها تتعامل فقط مع الكشف عن المعلومات ؛ ومع ذلك ، فإنه يفتح فرصة "للهجوم الهندسة الاجتماعية التي لم نرها من قبل" ويجب أن تؤخذ على محمل الجد ، وقال Amol Sarwate ، مدير مختبر أبحاث نقاط الضعف في Qualys. توفر Qualys ، ومقرها في Redwood Shores ، كاليفورنيا ، خدمات إدارة الثغرة الأمنية والتوافقوقال: "إنه يسمح للمهاجمين بدعوة أشخاص لعقد مؤتمرات صوتية أو فيديو عن طريق انتحال شخصية الضحية" ، مشيرا إلى أنها أيضا نقطة ضعف لمدة يوم. من دورة التصحيح الشهرية ، التي يطلق عليها التصحيح يوم الثلاثاء من قبل الباحثين الأمنيين ، ولكن في اللحظة الأخيرة سحبت واحدة من تلك التحديثات بسبب قضايا الجودة ، حسبما ذكرت الشركة.

لم تقدم شركة Microsoft مزيدًا من المعلومات حول ما إذا كانت ستفرج عن التحديث. ومع ذلك ، عندما يتم سحب التحديثات في اللحظة الأخيرة من قبل ، يتم إصدارها عادة كجزء من دورة التصحيح الشهر القادم.

كما أن تعقيد الأمور هذا الشهر عبارة عن نصيحة أمان حديثة وتصحيحات قامت Microsoft بإرسالها للأداة التي تستخدمها العديد من الشركات تصحيح تطبيقات Microsoft ، Windows Server Update Services ، قال Leatham. ونصح بأن تضمن الشركات تحديث الأداة والتحقق من أنها تعمل بشكل صحيح قبل تثبيت رقعات أغسطس.

"كان هناك خطأ غريب يتسبب في عدم نشر بعض الرقع الأمنية في مناطق المؤسسات" ، قال ليثام. "أنت تريد التأكد من أن خادم WSUS الخاص بك قد تم تصحيحه" قبل تثبيت جولة أخرى من التحديثات.