Microsoft łata Exchange'a, SQL Server i Windows

Zgodnie z wcześniejszymi zapowiedziami, Microsoft udostępnił dziś kolejne patche dla swoich produktów - są to cztery zestawy poprawek, oznaczone jako "ważne". Uaktualnienia usuwają łącznie 9 różnych błędów w kilku produktach koncernu z Redmond.

Miłym zaskoczeniem jest, że tym razem wśród poprawek nie ma żadnej uznanej za krytyczną - nie znaczy to jednak, że użytkownicy mogą zwlekać z uaktualnieniem swojego oprogramowania. W tym miesiącu szczególnie dużo pracy będą mieli administratorzy w dużych firmach - łatania wymagają bowiem serwer poczty Exchange, SQL Server oraz wbudowane do Windows oprogramowanie do obsługi DNS (o tej ostatniej poprawce piszemy szerzej w tekście "Patch dla Internetu - DNS załatany").

W Windows załatany został również błąd, pozwalający na zdalne uruchomienie w komputerze złośliwego kodu. Luka znajduje się w aplikacji Windows Explorer w systemach Windows Vista oraz Windows Server 2008 i związana jest z funkcją wyszukiwania plików. Nie uznano ją za krytyczną (choć zwykle podobne luki otrzymują taki właśnie status), ponieważ przed przeprowadzeniem ataku "napastnik" musi wykonać pewne dodatkowe czynności (np. skłonić użytkownika komputera do wykonania kilku operacji na odpowiednio zmodyfikowanym pliku).

Luka w Exchange'u teoretycznie umożliwia wykradzenie danych niezbędnych do zalogowania się do webowego interfejsu poczty elektronicznej oraz instalowanie w systemie użytkownika serwera złośliwego oprogramowania. Co ważne, również w tym przypadku jest to możliwe tylko w pewnych, dość specyficznych okolicznościach (dlatego także tej luki nie uznano za krytyczną). Z kolei z SQL Servera usunięto w sumie cztery różne błędy, pozwalające m.in. na przeprowadzanie ataków typu SQL injection. Problem dotyczy wszystkich wersji serwera bazodanowego Microsoftu, a także modułu SQL dołączonego standardowo do systemów z rodziny Windows.

Zainstalowanie tej ostatniej poprawki jest o tyle istotne, że w ostatnim czasie mamy do czynienia z prawdziwą epidemią ataków typu SQL injection. Specjaliści podkreślają, że Microsoft załatał właśnie błędy, które do tej pory nie były wykorzystywane podczas takich ataków. "Ludzie z Microsoftu konsekwentnie tłumaczą, że przyczyną obecnych ataków nie są luki w ich oprogramowaniu, tylko proste błędy programistyczne, popełniane przez osoby tworzące strony w ASP. Faktem jednak jest, że gdyby te błędy nie zostały załatana, to przestępcy z pewnością z czasem by się nimi zainteresowali" - komentuje Andrew Storms, szef działu bezpieczeństwa firmy nCircle Network Security.

Więcej informacji o udostępnionych właśnie poprawkach znaleźć można na stronie Microsoftu. Rekomendowanym przez koncern sposobem uaktualnienia oprogramowania jest skorzystanie z mechanizmu Microsoft Update.


Zobacz również