Bản và ngày thứ Ba tháng 7/2016: Microsoft và Adobe

Patch Tuesday July 2016: Microsoft and Adobe

Posted by amolsarwate in The Laws of Vulnerabilities on July 12, 2016 10:42 AM

Xem thêm: Windows XP sau ngày hết hỗ trợ kỹ thuật toàn cầu, 08/04/2014

Đây là Bản vá ngày thứ Ba tháng 07/2016 và Microsoft đã phát hành 11 bản cập nhật an toàn mà ảnh hưởng tới đống các hệ thống máy tính để bàn và máy chủ. 6 bản cập nhật được phân loại như là Sống còn trong khi các bản còn lại được phân loại là Quan trọng.

Hầu hết các bản cập nhật được phát hành hôm nay ảnh hưởng tới các máy để bàn. Ưu tiên hàng đầu nên được đưa ra cho việc sửa các trình duyệt và Office bao gồm MS16-084 mà ảnh hưởng tới Internet Explorer, MS16-085 ảnh hưởng tới Microsoft Edge và MS16-088 tới Office. Tất cả 3 bản cập nhật sửa các chỗ bị tổn thương mà cho phép kẻ tấn công nắm hoàn toàn kiểm soát máy của nạn nhân và vì thế chúng nên được vá tức thì.

Quan trọng tương tự là các bản Adobe phát hành cập nhật hôm nay. Đôi lúc hiện này Flash là tâm điểm. Nhưng lần này Adobe Reader đã quay lại sau khi ngủ 3 tháng. Adobe đã phát hành APSB16-26 sửa 30 chỗ bị tổn thương trên các nền tảng Windows và Mac. Nhiều chỗ bị tổn thương được APSB16-26 sửa cho phép kẻ tấn công nắm quyền kiểm soát hoàn toàn máy của nạn nhân và chúng tôi khuyến cáo áp dụng bản vá cho vấn đề sống còn này càng sớm càng tốt. Đây là lần thứ 3 Acrobat Reader sửa trong năm 2016 trong khi số lần Adobe Flash là hơn gấp đôi. Bản cập nhật này ảnh hưởng tới Windows, Mac, Linux và ChromeOS. Như nhiều chỗ bị tổn thương được sửa bởi bản cập nhật đó cho phép những kẻ tấn công nắm quyền kiểm soát hoàn toàn máy tính của nạn nhân chúng tôi khuyến cáo áp dụng bản cập nhật Flash và Reader ngay lập tức.

Tiếp theo trong danh sách ưu tiên là bản cập nhật từ Microsoft cho Jscript và VBScript MS16-086. Chỗ bị tổn thương được sửa ở đây có thể bị khai thác nếu nạn nhân viếng thăm trang web độc hại bị làm giả đặc biệt đặt chỗ Jscript và VBScript. MS16-087 là bản cập nhật sống còn khác cho Windows print spooler. Nếu một kẻ tấn công có khả năng tải lên mã độc vào máy in, thì tất cả các máy trạm cố kết nối với máy in đó có thể bị tổn thương. Vấn đề đó cũng có thể bị khai thác từ xa trong ổ đĩa bằng dạng tấn công có sử dụng điểm và in hoặc IPP trên web. Nhiều thông tin hơn về điều y hệt có ở đây.

Trong số các bản cập nhật quan trọng thì bản cập nhật MS16-091 của .NET có ưu tiên đầu khi vấn đề này có thể được khai thác từ xa. Nhưng không giống khía cạnh thực thi mã của các bản cập nhật sống còn khác, chỗ bị tổn thương .NET này chỉ cho phép làm rò rỉ thông tin. Có 3 bản cập nhật quan trọng khác của nhân Windows là MS16-089, MS16-090, MS16-092. Để khai thác thành công, kẻ tấn công cần phải có ủy nhiệm hợp lệ đối với hệ thống.

Tổng thể đây là Bản vá ngày thứ Ba có kích cỡ trung bình, nhưng vì nhiều bản cập nhật sống còn là nhằm vào máy tính để bàn nên có lẽ có vài căng thẳng đặt lên các đội vá máy tính để bàn của bạn.

Its July 2016 patch Tuesday and Microsoft has released 11 security updates that affect a host of desktop and server systems. Six updates are categorized as Critical while the rest are categorized as Important.

Most of the critical updates released today affect desktop systems. Top priority should be given to fixing browsers and Office which includes MS16-084 that affects Internet Explorer, MS16-085 which affects Microsoft Edge and MS16-088 for Office. All three updates fix vulnerabilities that allow an attacker to take complete control of the victim’s machine and therefore these should be patched immediately.

Equally important are updates release today by Adobe. For some time now Flash has taken center stage. But this time Adobe Reader is back after being dormant for three months. Adobe has released APSB16-26 which fixes 30 vulnerabilities on Windows and Mac platforms. Many vulnerabilities fixed by APSB16-26 allows an attacker to take complete control of the victim machine and we recommend applying patch for this critical issue as soon as possible. This is the third Acrobat Reader fix in 2016 while the count of Adobe Flash is more than double. Adobe has also release update for its Flash Player – APSB16-25 which fixes 52 vulnerabilities. This update affects Windows, Mac, Linux and ChromeOS. As many vulnerabilities fixed by the update allow attackers to take complete control of the victim machine we recommend applying the Flash and Reader update immediately.

Next on the priority list is update from Microsoft for Jscript and VBScript MS16-086. The vulnerability fixed here can be exploited if the victim visits a malicious webpage hosting specially crafted Jscript and VBScript. MS16-087 is another critical update for the windows print spooler. If an attacker is able to upload malicious code on a printer, all workstations trying to connect to that printer can be compromised. The issue can also be exploited remotely in a drive by type of attack using web point-and-print or IPP. More information about the same is available here.

Among the important updates .NET update MS16-091 gets first priority as this issue can be exploited remotely. But unlike the code execution aspect of other critical updates, this .NET vulnerability only allows information leakage. There are three other important Windows Kernel updates MS16-089, MS16-090, MS16-092. For an exploit to be successful, attacker needs to have valid credentials to the system.

Overall this is medium sized Patch Tuesday, but since many critical updates are targeted for desktops it may put some strain on your desktop patching teams.

Dịch: Lê Trung Nghĩa

letrungnghia.foss@gmail.com