W ten wtorek Microsoft opublikował comiesięczną aktualizację bezpieczeństwa, która tym razem zawiera siedem biuletynów, z czego trzy zostały ocenione jako krytyczne. W sumie naprawiono jedenaście usterek w zabezpieczeniach, łącznie z lukami w Microsoft Internet Explorer, Windows Media Player oraz Visual Studio 2005.

Poprawki na błędy w programie Internet Explorer oraz odtwarzaczu Media Player powinny byc traktowane jako aktualizacje priorytetowe, ponieważ aplikacje te są niezwykle powszechne na komputerach użytkowników. Ponieważ są to aktualizacje krytyczne, mogą pozwolić osobie atakującej na przejęcie kontroli nad systemem poprzez zdalne wykonanie kodu na maszynie. Trzeci "krytyczny" biuletyn usuwa problem w programie Microsoft Visual Studio 2005, który umożliwia osobie atakującej wykorzystanie WMI Object Broker ActiveX control w celu wykonania dowolnego kodu w systemie ofiary.

Z czterech biuletynów ocenionych jako ważne trzy dotyczą luk w zabezpieczeniach, które również mogą prowadzić do zdalnego wykonania kodu, ale uzyskały niższy poziom ważności ze względu na charakter narażonych komponentów. Zarówno Simple Network Management Protocol (SNMP), jak i Remote Installation Service (RIS) nie są domyślnie włączone w Windowsie, minimalizując wpływ luk. Luka dotycząca pliku Windows Address Book w programie Outlook Express również może prowadzić do zdalnego wykonania kodu, jednak wymaga to interakcji użytkownika, stąd niższy poziom ważności tej luki. Czwarta luka oceniona jako krytyczna może prowadzić do zwiększenia przywilejów.

Początkowo miało pojawić się tylko sześć biuletynów, jednak w ostatniej chwili Microsoft postanowił dodać poprawki na dwie usterki w odtwarzaczu Media Player, które zaczęto już wykorzystywać na wolności. Microsoft nie opublikował natomiast poprawek na kilka usterek "zero-day" w aplikacji Microsoft Word, które również zostały ujawnione w ostatnich tygodniach. Firma bada te luki i być może opublikuje na nie łatę poza cyklem aktualizacji.

Użytkownikom zalecamy jak najszybszą aktualizację - automatycznie albo ręcznie, za pośrednictwem witryny Microsoft TechNet.

Źródło: Computerworld Microsoft TechNet vnunet.com