Bản vá ngày thứ Ba tháng 02/2015 của Microsoft: 56 chỗ bị tổn thương được sửa

Microsoft Patch Tuesday for February 2015: 56 vulnerabilities fixed

Talos Group | February 10, 2015 at 10:48 am PST

Theo: http://blogs.cisco.com/security/talos/ms-tuesday-feb-2015

Bài được đưa lên Internet ngày: 10/02/2015

Các lỗi sống còn trong các phần mềm của Microsoft trong vòng 01 năm

Lời người dịch: Trích đoạn: “Bản vá ngày thứ Ba tháng 02/2015 của Microsoft đã tới. Vòng của tháng này các bản cập nhật an toàn là lớn với việc Microsoft phát hành 9 bản tin giải quyết 56 chỗ bị tổn thương (CVE). 3 trong số các bản tin được xếp hạng sống còn và giải quyết các chỗ bị tổn thương trong Internet Explorer, Windows, và Group Policy. Còn lại 6 bản tin được xếp hạng là quan trọng và giải quyết các chỗ bị tổn thương trong Office, Windows, Group Policy, và System Center Manager. Các bản tin được xếp hạng sống còn: MS15-009, MS15-010, và MS15-011 được xếp hạng là sống còn”. Xem thêm: Windows XP sau ngày hết hỗ trợ kỹ thuật toàn cầu, 08/04/2014.

Bản vá ngày thứ Ba tháng 02/2015 của Microsoft đã tới. Vòng của tháng này các bản cập nhật an toàn là lớn với việc Microsoft phát hành 9 bản tin giải quyết 56 chỗ bị tổn thương (CVE). 3 trong số các bản tin được xếp hạng sống còn và giải quyết các chỗ bị tổn thương trong Internet Explorer, Windows, và Group Policy. Còn lại 6 bản tin được xếp hạng là quan trọng và giải quyết các chỗ bị tổn thương trong Office, Windows, Group Policy, và System Center Manager.

Các bản tin được xếp hạng sống còn

MS15-009, MS15-010, và MS15-011 được xếp hạng là sống còn.

MS15-009 được ngắm đích nhằm giải quyết nhiều chỗ bị tổn thương trong Internet Explorer, phiên bản từ 6-11. Tổng số, 41 CVE khác nhau đã được giải quyết với đa số lớn chúng là các CVE suwả các chỗ bị tổn thương sử dụng sau tự do mà có thể gây ra sự thực thi mã ở xa. Một vài ASLR bỏ qua, các chỗ bị tổn thương leo thang quyền ưu tiên, và một chỗ bị tổn thương để lộ thông tin liên site cũng đã được giải quyết tháng này. Bổ dụng thêm, bản tin này bao gồm một sửa lõi cho CVE-2014-8967, nó đã được công khai vào tháng 12/2014.

MS15-010 giải quyết 6 CVE trong các Trình điều khiển Chế độ Nhân Windows bao trùm vài dạng chỗ bị tổn thương. 3 chỗ bị tổn thương leo thang quyền ưu tiên (CVE-2015-0003, CVE-2015-0057, CVE-2015-0058), một chỗ bị tổn thương từ chối dịch vụ (CVE-2015-0060), và một lỗi Bỏ qua Tính năng An toàn (CVE-2015-0010, được Dự án Zero của Google đã tiết lộ vào tháng trước), tất cả đã được giải quyết trong bản cập nhật tháng này. CVE-2015-0059 cũng đã được giải quyết và là nghiêm trọng nhất với thực thi mã ở xa có khả năng vì Windows khôgn phân tích cú pháp các phông True Type đúng phù hợp.

MS15-011 giải quyết một chỗ bị tổn thương đơn giản, được báo cáo mật (CVE-2015-0008) trong Chính sách Nhóm (Group Policy) có thể cho phép thực thi mã ở xa. Đẻ chỗ bị tổn thương này khai thác được, một nạn nhân với hệ thống miền được thiết lập cấu hình có thể cần phải kết nối tới một mạng không tin cậy, như một điểm hotspot của WiFi. Như một nút đặc biệt, Windows Server 2003 được xác định có bị tổn thương, nhưng sẽ không được vá vì những hạn chế về kiến trúc hiện hành bên trong hệ điều hành.

Các bản tin được xếp hạng quan trọng

(Phần nội dung này không được dịch)

Microsoft’s Patch Tuesday for February 2015 has arrived. This month’s round of security updates is large with Microsoft releasing 9 bulletins addressing 56 CVEs. 3 of the bulletins are rated critical and address vulnerabilities within Internet Explorer, Windows, and Group Policy. The remaining 6 bulletins are rated important and address vulnerabilities in Office, Windows, Group Policy, and System Center Manager.

Bulletins Rated Critical

MS15-009, MS15-010, and MS15-011 are rated Critical.

MS15-009 is targeted at addressing multiple vulnerabilities within Internet Explorer, versions 6 through 11. In total, 41 different CVEs were addressed with the vast majority of the those CVEs fixing use-after-free vulnerabilities that could result in remote code execution. A couple ASLR bypasses, privilege escalation vulnerabilities, and a cross-site information disclosure vulnerability were also addressed this month. In addition, this bulletin includes a fix for CVE-2014-8967, which was publicly disclosed in December 2014.

MS15-010 addresses 6 CVEs within Windows Kernel Mode Drivers covering several types of vulnerabilities. 3 privilege escalation vulnerabilities (CVE-2015-0003, CVE-2015-0057, CVE-2015-0058), a denial of service vulnerability (CVE-2015-0060), and a Security Feature Bypass flaw (CVE-2015-0010, disclosed by Google’s Project Zero last month), were all addressed in this month’s update. CVE-2015-0059 was also addressed and is the most serious with remote code execution possible due to Windows failing to parse TrueType fonts properly.

MS15-011 addresses a single, privately reported vulnerability (CVE-2015-0008) within Group Policy that could allow remote code execution. In order for this vulnerability to be exploited, a victim with a domain-configured system would need to connect to an untrusted network, such a Wi-Fi hotspot. As a special note, Windows Server 2003 is identified as vulnerable, but will not be patched due to existing architecture limitations within the Operating System.

Bulletins Rated Important

MS15-012, MS15-013, MS15-014, MS15-015, MS15-016, and MS15-017 are rated Important.

MS15-012 addresses 3 privately reported vulnerabilities within Microsoft Office. All 3 vulnerabilities are remote code execution flaws that can potentially be exploited if a user opens a maliciously crafted spreadsheet with Excel (CVE-2015-0063) or a maliciously crafted document with Word (CVE-2015-0064 and CVE-2015-0065).

MS15-013 addresses a single vulnerability within Microsoft Office that was previously disclosed. CVE-2014-6362 is a use-after-free vulnerability resulting in remote code execution if a users opens a maliciously crafted document. The impact of the vulnerability, however, is mitigated if a user enforces the use ASLR.

MS15-014 addresses a single, privately reported vulnerability within Windows Group Policy. CVE-2015-0009 is a possible security-feature bypass vulnerability by way of a man-in-the-middle attack corrupting the Group Policy Security Configuration Engine policy file on a targeted system. This, in turn, forces Windows to revert the Group Policy settings to their default state, which could potentially be less secure.

MS15-015 addresses a single, privately reported vulnerability within Windows that could allow privilege escalation. CVE-2015-0062 is the result of Windows failing to validate and enforce impersonation levels when a process is created. As a special note, this vulnerability is only exploitable in specific scenarios where SeAssignPrimaryTokenPrivilege is not available for normal processes.

MS15-016 addresses a single, privately disclosed vulnerability within the Microsoft Graphic Component. CVE-2015-0061 is a simple information disclosure that could be used to gather information on the stack, potentially allowing an attacker to bypass ASLR.

MS15-017 addresses a single, privately disclosed vulnerability within Microsoft System Center 2012 R2 Virtual Machine Manager. CVE-2015-0012 is a privilege escalation vulnerability that results from Virtual Machine Manager failing to validate a user’s role, allowing an attacker to gain control of all the virtual machines controlled by the VMM server. Note that this vulnerability requires an attacker to have valid Active Directory credentials and for the attacker to be able to login using those credentials. Once an attacker has logged onto the server, they are able to gain control of all the virtual machines controlled by the VMM server.

Dịch: Lê Trung Nghĩa

letrungnghia.foss@gmail.com