마이크로 소프트, 7 월 패치 화요일에 34 개의 버그 수정

Microsoft는 7 월 패치 화요일의 일환으로.NET Framework, Windows 커널 및 Internet Explorer에서 34 개의 고유 한 버그를 수정하는 7 개의 공지를 발표했습니다. 보안 버그가있는 앱과 관련하여 Microsoft 마켓 플레이스에 대한 새로운 180 일 정책도 있습니다.

7 개의 공지 중 6 개가 중요 등급으로 평가되었고 1 개가 중요 등급으로 평가되었다고 Microsoft는 화요일 패치 패치에서 어제 오후 발표했다고 밝혔다. IE 게시판 (MS13-055)을 먼저 설치 한 다음 Windows 커널 모드 드라이버 게시판 (MS13-053) 중 하나를 설치하는 것이 좋습니다. 나머지 트루 타입 및 Windows 게시판은 다음 우선 순위 그룹에 속하며 단독 "중요"패치가 이어졌습니다.

Rapid7의 보안 엔지니어링 선임 관리자 인 Ross Barrett은 "핵심 Microsoft 세계의 모든 것이 지원되는 모든 OS, 모든 버전의 MS Office, Lync, Silverlight, Visual Studio 및.NET 중 하나 이상에 영향을받습니다.

Windows 8.1 Preview 및 IE 11은 이러한 공지의 영향을받지 않습니다.

못생긴, 못생긴 글꼴

세 개의 개별 게시판 (MS13-052, MS13-053 및 MS13-054)은.NET의 트루 타입 글꼴 취약점을 해결했습니다. BeyondTrust의 CTO 인 Marc Maiffret은이 트루 타입 글꼴 버그는 Windows 커널이 아닌.NET에 존재한다는 점을 제외하고 Stuxnet 및 Duqu가 악용 한 버그와 유사하다고 말합니다.

MS13-054는 Windows 커널의 구성 요소 인 GDI +의 TrueType 취약점을 해결했습니다. 이 결함은 지원되는 모든 Windows, Office 2003/2007/2010, Visual Studio.NET 2003 및 Lync 2010/2013 버전을 포함한 여러 제품에 영향을줍니다. Maiffret은 많은 제품들이 GDI +를 사용하기 때문에 가까운 미래에 공격자들이이 결함을 악용 할 것이라고 예측했습니다.

CORE Security의 기술 지원 엔지니어 인 Tommy Chin은 "MS13-053은 그룹 중 최악이다"며 "원격 코드 실행과 권한 에스컬레이션을 하나로 통합 한 것"이라고 덧붙였다. 공격자는 잠재적 인 피해자를 소셜 엔지니어로 만들어 악의적 인 TrueType 컨텐츠가 포함 된 조작 된 파일을 볼 수 있습니다. 성공하면 공격자는 영향을받는 시스템에 대한 관리자 액세스 권한을 얻습니다.

보안 연구원 Tavis Ormandy가 발견 한 Windows 커널의 제로 데이 취약점도이 공지에서 해결되었습니다. 이 취약점에 대한 익스플로잇이 Metasploit와 같은 공개 프레임 워크에 이미 포함되어 있다는 점을 고려할 때, 이 우선 순위는 우선 순위가 높습니다

인터넷 익스플로러

Internet Explorer의 대규모 업데이트는 17 개의 결함을 해결했으며 그 중 16 개는 메모리 손상 취약점이고 하나는 사이트 간 스크립팅 버그입니다. 메모리 손상 결함은 공격자가 악의적 인 웹 페이지를 설정하고 사회 공학 전술을 사용하여 악의적 인 페이지로 사용자를 끌어들이는 드라이브 바이 공격에 사용될 수 있습니다. Maiffret은 인터넷 익스플로러에서 지난 몇 주 동안 패치를 통해 많은 메모리 손상 버그가 있었다고 덧붙였다.“이 패치는 가능한 빨리 출시되어야합니다.”

Microsoft 마켓 플레이스 정책 변경

마이크로 소프트는 또한 마이크로 소프트 마켓 플레이스와 관련된 정책 변경을 발표했습니다. 새로운 정책에 따라 보안 문제를 해결하기 위해 Microsoft에서 실행하는 4 개의 앱 스토어 (Windows Store, Windows Phone Store, Office Store 및 Azure Marketplace)의 모든 앱에 180 일이 제공됩니다. 타임 라인은 중요 또는 중요 등급이며 공격을받지 않는 취약점에 적용됩니다.

해당 기간 내에 패치가 적용되지 않으면 앱이 스토어에서 제거 될 것이라고 Microsoft는 말했다. 이 정책은 Microsoft뿐만 아니라 타사 개발자의 응용 프로그램에도 적용됩니다.

Tripwire의 보안 연구원 인 Craig Young은 "Microsoft는 다양한 앱 스토어에서 취약한 애플리케이션을 최소화하기 위해 큰 발걸음을 내딛고있다"고 말했다.

그러나 180 일이 오래 걸린다는 점은 주목할 가치가 있습니다. 개발자는 치명적인 취약점을 해결하는 데 6 개월 이상이 걸리지 않을 것으로 예상되며 업데이트가 예상보다 오래 걸리면 Microsoft는 예외를 기꺼이 할 것입니다.

새로운 정책은 개발자에게 부정적인 영향을 미치지 않으면서도 힘든 소리를 낼 수있는 방법 인 것 같습니다.

더 앞서

관리자에게는 바쁜 한 달이 될 것입니다. Adobe는 자체 업데이트를 발표했으며 Oracle은 다음 주 Java를 제외한 모든 소프트웨어의 분기 별 업데이트를 릴리스 할 예정입니다.