비디오: Charlie Puth - We Don't Talk Anymore (feat. Selena Gomez) [Official Video] (십월 2024)
오늘 오후 Microsoft는 Windows, Internet Explorer 및 Exchange를 비롯한 여러 서비스에서 23 개의 취약점을 해결하는 8 개의 보안 공지를 발표했습니다. 이 중 3 명은 Critical 등급이 가장 높았으며 나머지는 중요 등급으로 표시되었습니다.
패치 우선 순위를 정하려는 사용자는 MS13-059 및 MS13-060에 중점을 두는 것이 좋습니다. 즉, 가능한 빨리 모든 것을 패치해야합니다.
글꼴 공격 및 IE 취약점
이 두 가지 중에서 Bulletin 059는 Internet Explorer의 누적 보안 업데이트로, 11 건의 비공개 취약점을 포함합니다. "가장 심각한 취약점으로 인해 사용자가 Internet Explorer를 사용하여 특수하게 조작 된 웹 페이지를 보는 경우 원격 코드 실행이 허용 될 수 있습니다"라고 Microsoft는 말합니다. "이러한 취약점 중 가장 심각한 취약점을 성공적으로 악용 한 공격자는 현재 사용자와 동일한 권한을 얻을 수 있습니다."
BeyondTrust의 CTO 인 Marc Maiffret은 다음과 같이 설명합니다. "이 취약점으로 인해 코드 실행이 허용되지 않고 다른 취약성과 결합되어 사용자 권한으로 코드가 실행됩니다."
IE 업데이트는 2013 pwn2own 대회에서 VUPEN Security가 사용하는 취약점에 대한 수정 프로그램을 포함시키는 것으로도 유명합니다. 보다? 모든 경쟁이 치열합니다.
Bulletin 060은 기본적으로 공격자가 글꼴 렌더링을 공격 경로로 사용할 수 있도록하는 Unicode Script Processor의 취약점과 관련이 있습니다. 지난 달 패치 화요일 업데이트에서 비슷한 문제가 발생했습니다.
Qualys CTO Wolfgang Kandek은 SecurityWatch에 "글꼴은 커널 수준에서 그려 지므로 글꼴에 영향을 미쳐 오버플로 할 수 있다면 어떻게되는지"라고 설명했습니다. Kandek은 공격자가 피해자의 컴퓨터를 제어 할 수 있다고 말했다.
Windows XP의 Bangali 글꼴로 제한되어 있지만이 취약점은 공격에 대한 여러 가지 방법으로 인해 특히 당황 스럽습니다. Qualys Vulnerability Labs의 Amol Sarwate 이사는“매우 유혹적인 공격 벡터입니다. 공격자가해야 할 일은 취약점을 악용하기 위해 피해자를 문서, 전자 메일 또는 악성 웹 페이지로 안내하는 것입니다.
중요한 교환 취약점
세 번째 중요한 공지는 Microsoft Exchange 서버에서의 원격 코드 실행과 관련이 있습니다. Kandek은 SecurityWatch에 공격자가이 3 가지 취약점을 특수하게 생성 된 PDF 파일로 다운로드하여 볼 수없는 경우 피해자의 메일 서버를 공격 할 수 있다고 설명했습니다.
이전에는 이러한 취약점이 Oracle에 의해 공개되어 영향을받는 구성 요소가되었습니다. 고맙게도 아직 사형 집행은 없었지만 과거에는 비슷한 문제가 반복적으로 패치되었습니다. Maiffret은 두 가지 취약점이 "작년에 여러 번 패치 된 WebReady Document Viewing 기능 (MS12-058, MS12-080 및 MS13-012) 내에있다"고 Oracle은 계속해서 Microsoft와 Exchange에 일관된 검은 눈."
Kandek은 "이 소프트웨어 구성 요소에서 취약점을 발견하기가 매우 쉬웠으며"사용자는 소프트웨어 패치 외에도이 기능을 끄는 것을 고려해야합니다. 그렇게하면 사용자가 첨부 파일을보기 위해 메일 첨부 파일을 다운로드해야합니다. 보안 비용은 약간의 비용 일 수 있습니다.
이번 달 패치 목록에는 IPv6 취약성 및 일부 권한 상승, 서비스 거부 및 정보 공개 취약성을 포함한 몇 가지 장점이 있습니다. 모든 사람이 패치 작업을하는 동안 다음 달 버그 퀘스트를 준비합니다.
