В плановый «вторник исправлений» компания Microsoft представила пользователям 14 бюллетеней безопасности.
Речь идет о борьбе с 68 уязвимостями в Windows, Office, Edge, Internet Explorer и SQL Server, две из которых – уязвимости нулевого дня в Windows. Статус критических был присвоен шести бюллетеням безопасности, остальные восемь были классифицированы как важные.
Бюллетень MS16-135 устраняет многочисленные уязвимости в Windows, наиболее опасные из которых позволяют злоумышленнику повысить привилегии с помощью специально сформированного приложения и получить контроль над системой. В числе прочих Microsoft избавилась от уязвимости CVE-2016-7255, которая активно эксплуатировалсь хакерской группировкой, получившая популярность как Fancy Bear, APT 28 или Strontium.
Бюллетень MS16-132 избавляет от проблем в Microsoft Windows, дающих возможность удаленно выполнить код. В том числе компания исправила 0day-уязвимость CVE-2016-7256 в драйвере формата Windows OpenType Font (OTF). Уязвимость может быть проэксплуатирована за счет внедрения на сайты или в документы специально сформированных шрифтов OpenType. Успешная эксплуатация проблемы дает возможность атакующему получить полный контроль над целевой системой.
Бюллетени MS16-142, MS16-129 и MS16-133 решают проблемы в браузерах Internet Explorer и Edge, а также в Microsoft Office. Наиболее значительные уязвимости дают злоумышленнику возможность выполнить произвольный код при просмотре специально сформированной страницы в браузерах Internet Explorer или Microsoft Edge. В случае с Microsoft Office атакующий может выполнить произвольный код в контексте действующего пользователя, если жертва откроет специально сформированный документ Office.
Бюллетень MS16-136 исправляет уязвимости в Microsoft SQL Server, позволяющие атакующему повысить привилегии на системе.
Источник http://www.securitylab.ru/
