W sierpniu Microsoft wydał 9 biuletynów bezpieczeństwa. Dwa z nich oznaczono jako krytyczne, a pozostałe siedem jako ważne. Spośród wszystkich wydanych biuletynów trzy łatają luki związane z zdalnym wykonaniem kodu, cztery dotyczą podniesienia uprawnień, a pozostałe dwa dotyczą obejścia zabezpieczeń.
Wydane biuletyny naprawiają luki w oprogramowaniu: Microsoft Windows (6 biuletynów), Internet Explorer (1 biuletyn), Microsoft Office (1 biuletyn), Microsoft SQL Server (1 biuletyn), Microsoft Server Software (1 biuletyn), Microsoft .NET Framework (1 biuletyn).
Poniżej przedstawiamy szczegóły wydanych biuletynów w kolejności ważności.
Id Biuletynu: MS14-051
Tytuł biuletynu: Zbiorcza aktualizacja zabezpieczeń dla programu Internet Explorer (2976627)
Opis: Aktualizacja zabezpieczeń usuwa jedną lukę publiczną oraz dwadzieścia pięć zgłoszonych luk w zabezpieczeniach przeglądarki Internet Explorer. Najpoważniejsza z luk pozwala na zdalne wykonanie kodu, jeśli użytkownik wyświetli specjalnie spreparowaną stronę sieci Web przy użyciu zagrożonej wersji przeglądarki Internet Explorer. Osoba atakująca, której uda się wykorzystać te luki, może uzyskać takie same uprawnienia, jak bieżący użytkownik. Użytkownicy pracujący na kontach z ograniczonymi uprawnieniami w systemie ponoszą mniejsze skutki ataku, niż użytkownicy pracujący na kontach z uprawnieniami administracyjnymi.
Wskaźnik ważności: krytyczna
Wpływ luki: zdalne wykonanie kodu
Wymagania dotyczące ponownego uruchomienia: wymaga ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Windows, Internet Explorer
Id Biuletynu: MS14-043
Tytuł biuletynu: Luka w zabezpieczeniach programu Windows Media Center pozwala na zdalne wykonanie kodu (2978742)
Opis: Aktualizacja zabezpieczeń usuwa lukę w zabezpieczeniach systemu Microsoft Windows. Luka pozwala na zdalne wykonanie kodu, jeśli użytkownik otworzy specjalnie spreparowany plik pakietu Office, który wywołuje zasoby Windows Media Center. Osoba atakująca, której uda się wykorzystać te luki, może uzyskać takie same uprawnienia, jak bieżący użytkownik. Użytkownicy pracujący na kontach z ograniczonymi uprawnieniami w systemie ponoszą mniejsze skutki ataku, niż użytkownicy pracujący na kontach z uprawnieniami administracyjnymi.
Wskaźnik ważności: krytyczna
Wpływ luki: zdalne wykonanie kodu
Wymagania dotyczące ponownego uruchomienia: może wymagać ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Windows
Id Biuletynu: MS14-048
Tytuł biuletynu: Luka w zabezpieczeniach programu OneNote pozwala na zdalne wykonanie kodu (2977201)
Opis: Aktualizacja zabezpieczeń usuwa jedną lukę w zabezpieczeniach programu Microsoft OneNote. Luka pozwala na zdalne wykonanie kodu, jeśli użytkownik otworzy plik przy użyciu zagrożonej wersji programu OneNote. Osoba atakująca, której uda się wykorzystać te luki, może uzyskać takie same uprawnienia, jak bieżący użytkownik. Użytkownicy pracujący na kontach z ograniczonymi uprawnieniami w systemie ponoszą mniejsze skutki ataku, niż użytkownicy pracujący na kontach z uprawnieniami administracyjnymi.
Wskaźnik ważności: ważna
Wpływ luki: zdalne wykonanie kodu
Wymagania dotyczące ponownego uruchomienia: może wymagać ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Office
Id Biuletynu: MS14-044
Tytuł biuletynu: Luki w zabezpieczeniach programu SQL Server pozwalają na podniesienie uprawnień (2984340)
Opis: Aktualizacja zabezpieczeń usuwa dwie luki w zabezpieczeniach programu Microsoft SQL Server (jedna w SQL Server Master Data Services, a inne w systemie zarządzania relacyjnymi bazami danych SQL Server). Najpoważniejsza z luk (dotycząca SQL Server Master Data Services) pozwala na podniesienie uprawnień, jeśli użytkownik odwiedzi specjalnie spreparowaną stronę internetową, która wstrzykuje skrypt po stronie klienta, np. przez użytkownika w przeglądarce Internet Explorer. W celu wykorzystania luki atakujący musi przekonać użytkownika do odwiedzenia szkodliwej strony lub otwarcia szkodliwego załącznika wysłanego za pośrednictwem wiadomości e-mail lub komunikatora internetowego.
Wskaźnik ważności: ważna
Wpływ luki: podniesienie uprawnień
Wymagania dotyczące ponownego uruchomienia: może wymagać ponownego uruchomienia
Dotyczy oprogramowania: Microsoft SQL Server
Id Biuletynu: MS14-045
Tytuł biuletynu: Luki w zabezpieczeniach sterowników trybu jądra pozwalają na podniesienie uprawnień (2984615)
Opis: Aktualizacja zabezpieczeń usuwa trzy luki w systemie Microsoft Windows. Najpoważniejsza z luk pozwala na podniesienie uprawnień, jeśli osoba atakująca zaloguje się do systemu i uruchomi specjalnie spreparowaną aplikację. Osoba atakująca musi dysponować prawidłowymi danymi logowania oraz musi zalogować się lokalnie w celu wykorzystania tej luki w zabezpieczeniach.
Wskaźnik ważności: ważna
Wpływ luki: podniesienie uprawnień
Wymagania dotyczące ponownego uruchomienia: wymaga ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Windows
Id Biuletynu: MS14-049
Tytuł biuletynu: Luka w zabezpieczeniach usługi Instalator Windows pozwala na podniesienie uprawnień (2984615)
Opis: Aktualizacja zabezpieczeń usuwa luki w zabezpieczeniach systemu Microsoft Windows. Luki mogą pozwolić na podniesienie uprawnień, jeśli osoba atakująca uruchomi specjalnie spreparowaną aplikację, która próbuje naprawić wcześniej zainstalowaną aplikację. Osoba atakująca musi dysponować prawidłowymi danymi logowania oraz musi zalogować się lokalnie w celu wykorzystania tej luki w zabezpieczeniach.
Wskaźnik ważności: ważna
Wpływ luki: podniesienie uprawnień
Wymagania dotyczące ponownego uruchomienia: może wymagać ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Windows
Id Biuletynu: MS14-050
Tytuł biuletynu: Luka w zabezpieczeniach programu Microsoft SharePoint Server pozwala na podniesienie uprawnień (2977202)
Opis: Aktualizacja zabezpieczeń usuwa lukę w zabezpieczeniach programu Microsoft SharePoint Server. Uwierzytelniona osoba atakująca, której uda się wykorzystać tę lukę może użyć specjalnie spreparowaną aplikację, która pozwala na uruchomienie dowolnego skryptu JavaScript w bieżącej witrynie programu SharePoint.
Wskaźnik ważności: ważna
Wpływ luki: podniesienie uprawnień
Wymagania dotyczące ponownego uruchomienia: może wymagać ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Server Software
Id Biuletynu: MS14-046
Tytuł biuletynu: Luka w .NET Framework pozwala na obejście zabezpieczeń (2984625)
Opis: Aktualizacja zabezpieczeń usuwa lukę w zabezpieczeniach programu Microsoft .NET Framework. Luka pozwala na obejście zabezpieczeń, jeśli użytkownik odwiedzi specjalnie spreparowaną stronę internetową. Osoba atakująca, której uda się wykorzystać tę lukę może ominąć funkcję chroniącą przed przepełnieniem bufora (ASLR). Atakujący, aby wykorzystać tę lukę musi także skorzystać z innych luk, jak np. luki umożliwiającej zdalne wykonanie kodu, które mogą skorzystać z ASLR w celu uruchomienia dowolnego kodu.
Wskaźnik ważności: ważna
Wpływ luki: obejście zabezpieczeń
Wymagania dotyczące ponownego uruchomienia: może wymagać ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Windows, Microsoft .NET Framework
Id Biuletynu: MS14-047
Tytuł biuletynu: Luka w LRPC* pozwala na obejście zabezpieczeń (2978668)
Opis: Aktualizacja zabezpieczeń usuwa lukę w zabezpieczeniach systemu Microsoft Windows. Luka pozwala na obejście zabezpieczeń, jeśli atakujący wykorzysta tę lukę w połączeniu z innymi lukami, np. luki umożliwiającej zdalne wykonanie kodu, która skorzysta z ASLR w celu uruchomienia dowolnego kodu.
Wskaźnik ważności: ważna
Wpływ luki: obejście zabezpieczeń
Wymagania dotyczące ponownego uruchomienia: wymaga ponownego uruchomienia
Dotyczy oprogramowania: Microsoft Windows
* LRPC – Local Remote Procedure Call – lokalne procedury zdalnego wywołania
źródło: Microsoft Security TechCenter
