Aktywnie wykorzystywany 0-day w Internet Explorerze – Microsoft wypuszcza nieplanowaną łatę

[Grandalf]

Zaloguj lub Zarejestruj się aby zobaczyć!

występuje w Internet Explorerze 9, 10, 11 i dotyka wszystkich Windowsów (od 7-ki do 10-tki, w tym serwerowe). Luka

Zaloguj lub Zarejestruj się aby zobaczyć!

w systemie operacyjnym ofiary, po wejściu na odpowiednio przygotowaną stronę.

Problem jest na tyle duży, że Microsoft przygotował łatę, poza standardowym cyklem aktualizacji. Łatajcie się (i najlepiej nie używajcie IE .

Warto też dodać, że kampanię która wykorzystywała (wykorzystuje) tę podatność wykryła ekipa Google, która jakiś czas temu doniosła o innej,

Zaloguj lub Zarejestruj się aby zobaczyć!

(również z użyciem podatności 0-days).

źródło:

Zaloguj lub Zarejestruj się aby zobaczyć!

Pobieranie:

Zaloguj lub Zarejestruj się aby zobaczyć!

Obszerniejszy opis:

Zaloguj lub Zarejestruj się aby zobaczyć!

 

[spamtrash]

...

Zaloguj lub Zarejestruj się aby zobaczyć!

iii tam nieplanowana (zdaniem sekuraka of course)... nieplanowana to moze byc ciaza kota Jaroslawa. Wystarczy przejsc sie na

Zaloguj lub Zarejestruj się aby zobaczyć!

zeby sobie zobaczyc ze tak naprawde MS wydaje DWIE poprawki miesiecznie, w cyklu tik-tak. Tik to poprawka standardowa, tak to poprawka babola wprowadzonego poprawka tik lub diabelek z pudelka.

W tym przypadku mamy do czynienia z diabelkiem z pudelka, przy czym sam zawiera diabelka w pudelku. Otoz, jak mozecie zobaczyc

Zaloguj lub Zarejestruj się aby zobaczyć!

- NIE ma tej krytycznej poprawki dostepnej przez mechanizm Windows Update. Kazdy losowo wybrany uzyszkodnik systemu Windows ma sie zapoznac z komunikantem, (najlepiej w Radiu Maryja???), i se sobie zainstalowac z linku do katalogu. W tym przypadku uwazam ze MS jednak popelnil blad starajac sie o status zakladu pracy chronionej i zatrudniajac specow ktorych rozmiar buta jest wiekszy niz IQ. Sadly. Skoro to taka krytyczna luka (A taka jest) to nalezalo wykorzystac mozliwosci systemu, wyswietlic userowi duza czerwona plansze z napisem: UWAGA: Wygrales darmowy widelec Zeptera, kliknij se tutaj, co pododowaloby zainstalowanie poprawki. Czy cos podobnego.

Grupa docelowa dla ktorej ta poprawka JEST krytyczna to zupelnie nieswiadome niczego zwiazanego z IT stado (ja przepraszam, ale osoba korzystajaca z IE jako podstawowej przegladarki ma imho mizerne pojecie o sieci, kompie, a na widok kamerki inetowej zadaje pytanie: "a to ocko co tak pacy - to dzie ma rzesy?") ktore z definicji NIE wejdzie na KB, NIE wejdzie na historie update W10 oraz NIE bedzie szukac poprawek w katalogu bo NIE MA pojecia ze poprawki mozna instalowac recznie i trwa w przekonaniu ze system dba o bezpieczenstwo.


Sama poprawka tez jest kolejnym dowodem na to ze dopalacze (zwlaszcza w rekach developerow systemu) to ZUO i nalezy tego zakazac. Dlaczegoz?
Ano dlategoz ze po wejsciu na katalog dla np.

Zaloguj lub Zarejestruj się aby zobaczyć!

mamy radosnie od 122MB do 295MB tej jakze krytycznej poprawki.
Jako ze technicznie samo poprawienie polega na uruchomieniu z palca z prawami admina pliku bat zawierajacego albo

Spoiler: sys32

Zaloguj lub Zarejestruj się aby zobaczyć!

albo

Spoiler: sys64

Zaloguj lub Zarejestruj się aby zobaczyć!

to jak dla mnie to tam znajduja sie ze 2 odcinki w swiecie Kardashianow (w rmvb, ale zawsze) co najmniej, obok samej latki.

Nie wiem, moze wplywa na mnie jesien, ale ilosc babolizmu mnie powoli przerasta. Wydawanie krytycznej poprawki systemu o ktorej nikt z targetowej grupy nie ma prawa wiedziec, przy czym ladowanie do niej pierdyliarda innych niesprawdzonych i nie do konca latwo sprawdzalnych rzeczy w moim odczuciu mija sie dosc daleko z jakimikolwiek standardami dbania o uzyszkodnika.

Ja nie wiem czy lista chetnych na Marsa jest juz zamknieta???

PS: jak juz, to dzis wydano DWIE "out of band" porawki: jedna dla ww IE, a druga dla Defendera ktorego

Zaloguj lub Zarejestruj się aby zobaczyć!

.
Wrazliwe sa wszystkie wersje przed oraz wlaczajac 1.1.16300.1. MS oczywiscie wydal latke podnoszaca wersje do 1.1.16400.2 i Boziu bron nie wpiera jej userom na sile, czeka az sie Defender sam zaktuaizuje. Manualnie se mozna samemu stad:

Zaloguj lub Zarejestruj się aby zobaczyć!

przy czym typowo dla MS, na stronie (obecnie) znajduje sie info ze ostania wersja security engine to 1.303.25.0 co ma sie nijak do numeracji powyzszej CVE, bo po co ulatwiac userowi zycie i powiedziec o co chodzi w sposob spojny. Ale tak, pobrane stamtad wersje po aktualizacji podnosza wlasciwy numerek do wlasciwej wersji.

Az sie boje co bedzie potem: krytyczna poprawka bezpieczenstwa na ktora trzeba sie zapisac wysylajac list polecony i za potwierdzeniem odbioru do gajowego Maruchy?

 

[Grandalf]

to jak dla mnie to tam znajduja sie ze 2 odcinki w swiecie Kardashianow (w rmvb, ale zawsze) co najmniej, obok samej latki.

Oj tam, oj, to raptem skromne parę plików

 

[spamtrash]

Oj tam, oj, to raptem skromne parę plików

nom, a wez pod uwage ze nie jest to normalna update "tak". update "tak" wyszla

Zaloguj lub Zarejestruj się aby zobaczyć!

i oczywiscie jest dostepna z poziomu Windows update