Black Tuesday shrnutí: nezáplatovaná 0day pro Flash a 16 bulletinů od Microsoft

Tento měsíc se Adobe a Microsoft rozhodly vydat 45 aktualizací pro své produkty, záplatovaly vše co je možné.

Adobe vydala 5 bezpečnostních bulletinů záplatujících 6 zranitelností v Adobe DNG SDK, Brackets, Creative Cloud and ColdFusion. Zero-day zranitelnost CVE-2016–4171, kterou objevila Kaspersky Lab, ještě nebyla záplatována. Dodavatel slíbil vydání aktualizace během tohoto týdne.

Doporučujeme uživatelům deaktivovat Adobe Flash dokud nebude záplata k dispozici, nebo aspoň nainstalovat EMET a zmírnit potenciální riziko exploitace, protože je tato zranitelnost aktivně zneužívána hackery. Níže je tabulka se stručným shrnutím záplat pro Adobe:

Microsoft záplatoval 39 zranitelností v 16 bezpečnostních bulletinech, zahrnujících 3 zranitelnosti v Oracle Outside In knihovnách, používaných serverem Microsoft Exchange.

Žádná ze zranitelností není tentokrát zero-days. Avšak, některé z nich mohou způsobit vážné bezpečnostní problémy.

Nejnebezpečnější zranitelností je dle našeho názoru vzdálené spuštění kódu v DNS serveru CVE-2016–3227. Ještě není veřejně známý žádný exploit pro tuto zranitelnost, ale vzhledem k širokému využití služby DNS, důrazně doporučujeme záplatování této zranitelnosti jak jen to je možné.

Poznámka: zranitelnost CVE-2016–3213, popsaná v MS16–063, není kompletně opravena touto záplatou a vyžaduje instalaci MS16–077, aby byla plně chránněna před touto zranitelností. Zranitelnost se nachází ve Web Proxy Auto Discovery (WPAD) protokolu, který nesprávně spravuje NetBIOS názvy. Tato zranitelnost může být exploitována lokálně i vzdáleně skrze Internet Explorer útočný vektor.

Zranitelnost CVE-2016–0025 v Microsoft Office (MS16–070) je extrémně nebezpečná, jelikož je exploitovaná využitím vestavěného ochranného mechanismu podokna náhledu, určenému k ochraně uživatelů před otevíráním nebezpečných souborů.

Zde je tabulka se stručným shrnutím vydaných záplat od Microsoftu: