Этот вторник Microsoft Patch вторник довольно уникален. Исключая тот факт, что Microsoft пытается устранить рекордные 94 уязвимости, мы видим, что Microsoft предоставляет обновления безопасности для нескольких операционных систем, которые больше не поддерживаются, включая Windows XP и Vista. Кроме того, Microsoft перешла от обычного подхода к упоминанию некоторых избранных проблем безопасности в своих заметках по безопасности .

В этом месяце мы увидели, что Microsoft выпустила большое количество высокоприоритетных проблем и невероятное заявление: «Microsoft объявляет о доступности дополнительных руководств для критических обновлений безопасности, которые подвергаются повышенному риску эксплуатации из-за прошлых и находящихся под угрозой атак со стороны государства». и раскрытия ».

Сейчас не время расслабляться по поводу исправления вашей среды. Кроме того, Microsoft пытается устранить две серьезные уязвимости в удаленном выполнении кода ( CVE-2017-8543 и CVE-2017-8464 ), которые, как сообщалось, использовались в дикой природе. Хотя Microsoft больше не использует методологию бюллетеней обновлений, следующие семейства продуктов получат обновления в этом месяце:

  • Adobe Flash Player
  • Internet Explorer и Microsoft Edge
  • Майкрософт Виндоус
  • Microsoft .NET
  • Silverlight

Adobe Flash Player

Microsoft выпускает еще одно значительное (Приоритет 1) обновление Adobe Flash Player ( ADV17007 ), которое пытается устранить 12 обнаруженных уязвимостей, которые в худшем случае могут привести к выполнению произвольного кода в скомпрометированной системе. Это обновление касается Chrome, Microsoft Edge и Internet Explorer (IE) 11. Не говоря уже о «угрозах со стороны государства», это обновление «Patch Now» от Adobe и Microsoft.

Internet Explorer и Microsoft Edge

В общей сложности 32 сообщения об уязвимостях для браузеров Microsoft (IE и Edge), из которых 10 оценены как критические, семь — как важные, восемь — как умеренные, а семь — как проблемы безопасности низкого уровня, — это еще одно крупное и важное обновление от Microsoft. Необычно, что в этом месяце Microsoft Edge имеет наибольшее количество и самые серьезные уязвимости, что может быть связано с более активным использованием Windows 10 и его большей ценностью для злоумышленников. Обновления IE и Edge должны рассматриваться как «Patch Now» на этот месяц.

Windows

Почтенная операционная система Windows Vista достигла конца поддержки, но, учитывая серьезность этих уязвимостей, о которых сообщалось, Microsoft выпустила две статьи по КБ ( 975517 для 32-разрядных систем и 2347290 для 64-разрядных). Windows XP SP3 получает четыре отдельных обновления ( 958644 , 2347290 , 4012598 и 4012583 ). Эти обновления датируются началом 2008 года и включают исправления, выпущенные совсем недавно, в марте 2017 года. Помимо сложности серии обновлений этого месяца для поддерживаемых в настоящее время и устаревших операционных систем, существует четыре отдельных потока для Windows 10, включая: 

  • Windows 10-1703: сборка 15063.414 Это обновление включает в себя изменения IE, а также изменения основной операционной системы. Новые обновления не были добавлены. Учитывая относительно недавнюю дату выпуска этого выпуска Windows 10, полезная нагрузка обновления включает в себя около тысячи системных файлов.
  • Windows 10-1607: сборка 14393.1358. Это накопительное обновление включает в себя все предыдущие исправления и обновления для этой операционной системы, выпущенной один год назад, и, несмотря на то, что в ней нет известных проблем, она обновляет около 1200 системных файлов.
  • Windows 10-1511: сборка 10586.962 Об этом накопительном обновлении не сообщалось ни о каких известных проблемах, и около 1300 системных файлов включены в полезную нагрузку исправления.
  • Windows 10-1507: сборка 10240.17443 После жизненного цикла поддержки Microsoft для Windows 10 самый первый выпуск Windows 10 (выпуск 1507) больше не поддерживается.

Вы можете узнать больше о жизненных циклах платформы Microsoft с помощью этого « информационного бюллетеня» . Если вы установили первый выпуск Windows 10 и не перешли на более поздние сборки, этот июньский патч-вторник станет вашим последним. Microsoft выпустила полезную таблицу с подробным описанием срока поддержки каждого выпуска, которую можно найти здесь . Эта сборка больше не поддерживается, даже если вы выбрали вариант ветки долгосрочного обслуживания предприятия .

 

Есть несколько известных проблем с этим июньским обновлением от Microsoft. Если вы используете или используете устройства iSCSI, вы можете обратиться к этой статье базы знаний KB4022717 . Учитывая все опасения, связанные с большим количеством обновлений и потенциальными действующими и эксплуатируемыми уязвимостями в этом месяце, все обновления Windows следует рассматривать как «исправления». Очевидно, что это не является устойчивым. У нас не может быть кризиса все время. Будем надеяться, что следующий месяц будет другим.

Microsoft .NET

Этот июньский цикл исправлений дает нам полное обновление версии ядра платформы разработки Microsoft .NET с выпуском .NET 4.7 . Переход с Microsoft .NET 4.6.2 на версию 4.7 принесет некоторые потенциальные проблемы с совместимостью, и Microsoft предоставила некоторые заметки о выпуске и журнал различий API, найденный здесь . Некоторые из основных улучшений и изменений, включенных в .NET 4.7, включают:

  • Поддержка высокого разрешения для приложений Windows Forms в Windows 10
  • Сенсорная поддержка приложений WPF в Windows 10
  • Расширенная поддержка криптографии
  • Улучшения производительности и надежности

Это серьезное обновление, и Microsoft решила использовать обновление Microsoft для распространения этой последней версии .NET. В настоящее время Microsoft решила « ограничить » выпуск .NET 4.7 более медленным поэтапным выпуском. Для тех, кому требуется немедленная загрузка последних двоичных файлов, вы можете принудительно загрузить их, воспользовавшись опцией «Проверить наличие обновлений» на панели настроек обновлений. Существует также отсутствует установочный пакет доступен здесь . В этом обновлении .NET нет непосредственных проблем с безопасностью, и я предлагаю провести тщательное тестирование вашей командой разработчиков перед полномасштабным развертыванием.

Microsoft Office

В этом месяце Microsoft выпустила ряд сравнительно небольших обновлений для всех поддерживаемых версий Microsoft Office (от Office 2013 до Office 2011 для Mac), которые можно найти здесь . Настоящей проблемой для этого июньского исправления во вторник является обновление Skype для бизнеса, которое устраняет обнаруженную уязвимость ( CVE-2017-0283 ), которая может привести к сценарию безопасности удаленного выполнения. Это делает обновление для Skype для бизнеса выпуском «Patch Now», а остальные обновления Office должны соответствовать стандартным графикам выпуска исправлений. 

Microsoft Silverlight

Платформа веб-разработки Silverlight была эквивалентом Adobe Flash от Microsoft, и официальная поддержка уже закончилась. Несмотря на то, что он не так уязвим для проблем безопасности, как Adobe Flash, есть две уязвимости ( CVE-2107-0283 и CVE-2017-8527 ), которые Microsoft оценивает как критические. Эти обновления применяются как к 32-разрядным, так и к 64-разрядным системам, но не к системам Apple Mac. Вы можете найти полную историю выпуска Silverlight здесь .

Это огромный месяц для исправлений от Microsoft с несколькими серьезными уязвимостями, которые могут привести к полному компрометации целевых систем. О некоторых из этих уязвимостей уже сообщалось в дикой природе, и их может оказаться трудно устранить после атаки системы. Учитывая недавний выпуск дополнительных инструментов взлома, связанных с АНБ, и решение Microsoft поддерживать устаревшие системы, такие как Windows XP, ответственные организации должны воспользоваться этой возможностью, чтобы обновить свои системы и обеспечить обновление своих систем, даже несмотря на то, что Microsoft и другие поставщики увеличивают свои темпы. изменить и каденцию последующих патчей.