Artikel top billede

Microsoft på vej med sin hidtil største opdatering

Du kan vente den hidtil største sikkerhedsopdatering fra Microsoft i næste uge. Den lukker hele 49 sikkerhedshuller i en hel stribe programmer.

Computerworld News Service: Microsoft vil i næste uge udgive hele 16 sikkerhedsopdateringer, der lukker ikke mindre end 49 sårbarheder i Windows, Internet Explorer, Office og SharePoint.
Sikkerhedschef Andrew Storms fra nCircle Security kalder den massive omgang opdateringer "kolossal, igen."

Fire af de 16 opdateringer er kategoriseret af Microsoft som "kritiske," hvilket er den højeste trusselskategori i virksomhedens firetrins-system.

10 andre er markeret som "vigtige," hvilket er den anden højeste kategori, men de sidste to kategoriseres som "moderate."

Skadelig kode

Ni af opdateringerne kan udnyttes af hackere til at placere skadelig kode i sårbare pc'er, oplyser Microsoft i sit som sædvanligt lakoniske sikkerhedsvarsel om opdateringerne, der efter planen vil blive udgivet 12. oktober.

Microsoft kategoriserer ofte sårbarheder angående fjerneksekvering af kode - som ellers er noget af det farligste - som blot "vigtige," når de sårbare komponenter som standard ikke er slået til, eller når andre formildende omstændigheder såsom forsvarsforanstaltninger som ASLR og DEP muligvis vil beskytte visse brugere.

Den kommende Patch Tuesday sætter rekorder på næsten alle tænkelige måder.

Rekordantal

De 16 opdateringer er et rekordhøjt antal og slår den tidligere rekord fra august 2010 med to styks.

De 49 individuelle sårbarheder slår uden problemer den tidligere rekord på 34 på en enkelt måned, som blev sat i oktober 2009 og gentaget i juni og august i år.

Microsoft har på det seneste udsendt skiftevist store og små grupper af rettelser, hvor de større falder i lige måneder, så det store antal i oktober bør ikke komme som nogen overraskelse.

I august udgav virksomheden som allerede påpeget 14 opdateringer, der rettede 34 sårbarheder.

Derimod kom der i september kun ni opdateringer, der rettede 11 fejl.

"Jeg har en teori om det store antal oktober-opdateringer," siger Storm.

Han påpeger, at Microsoft i oktober udgav 13 opdateringer, der rettede 34 sårbarheder i oktober sidste år, og i oktober 2008 12 opdateringer, der rettede 21 sårbarheder.

"Det er den både finansielle og detailmæssige slutspurt ved årets afslutning for mange virksomheder, der låser alting ned i årets sidste to måneder, hvor de ikke opdaterer deres systemer," forklarer han.

12 af de 16 opdateringer er rettet mod Windows i enten desktop- eller serverudgaverne eller i visse tilfælde begge.

To er rettet mod Office - mere specifikt Word og Excel - og retter sandsynligvis en eller flere sårbarheder i filformater fra de to programmer, vurderer Storms.

En af opdateringerne vil imødegå et problem i SharePoint, Microsofts samarbejdssystem til enterprise.  
Denne opdatering af SharePoint vil ifølge sikkerhedsvarslet på en eller anden måde være relateret til Office Web Apps, som er onlineudgaven af Microsoft Word, Excel, PowerPoint og OneNote.

Udover det høje antal opdateringer påpeger Storms også, at adskillige af dem er af udgaver af den nyeste version af Microsofts styresystem, navnlig Windows 7 til desktop og Windows Server 2008 R2 til server.

Begge er blevet opdateret adskillige gange siden lanceringen sidste år.

Ni af de kommende opdateringer vil være af Windows 7 heriblandt alle de fire kritiske.

Også Windows Server 2008 R2 vil modtage ni opdateringer, hvoraf de to er kritiske.

Selv om Microsoft fremhæver Windows 7 som sit sikreste styresystem nogensinde og gerne vil have brugere af Windows XP til at droppe det ni år gamle styresystem og gå over til den nye version, så er færre af næste uges opdateringer af det aldrende XP end af Windows 7. Otte af de 16 opdateringer er af XP, og kun to af de fire kritiske rammer XP.

Den kritiske opdatering af Internet Explorer vil påvirke IE6, IE7 og IE8. Microsoft har ikke svaret på, om virksomheden også vil opdatere IE9, som blev udgivet i en betaversion for tre uger siden.

"Det er en IE-opdatering, der er for syns skyld og fuldstændigt forventet, "siger Storms. Microsoft har rettet Internet Explorer hver anden måned i et stykke tid, og det er to måneder siden sidst.

Microsoft har heller ikke svaret på, om næste uges opdateringer vil inkludere rettelser af sårbarheder, der kan udnyttes ved såkaldte "DLL load hijacking"-angreb.

Oversat af Thomas Bøndergaard




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Højer og Lauritzen ApS
Distributør af pc- og printertilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere