Las actualizaciones críticas de Microsoft, Adobe y Oracle

Hoy es el segundo martes de 2010, lo que significa que es el segundo martes de enero, lo que lo hace martes de parches. Microsoft celebra 2010, tomando las cosas con calma de este mes y liberado sólo un boletín de seguridad único. Luz Mes de Microsoft Microsoft boletín de seguridad MS10-001 afecta a una vulnerabilidad en el motor de embebida abierta de la fuente. El boletín de seguridad se considera como crítica, pero que la calificación realmente sólo se aplica a sistemas Windows 2000. Para todas las demás versiones de Windows, este problema está clasificada como de gravedad baja. Tyler Reguły, ingeniero senior de seguridad de nCircle caracterizado a la actualización de Microsoft como más o menos triviales. "Bienvenido a un lento comienzo para el nuevo año. Un solo parche, y desde un punto de vista de la investigación, ni siquiera interesante. Todos los parches deben ser tomadas en serio, pero este definitivamente no es un fuego que debe ser sacada rápidamente, esto de forma rotunda pueden caer en ciclos regulares de parches ". el director de seguridad nCircle Andrew Storms sugiere poner el tiempo que normalmente se gasta en la evaluación y la aplicación de parches a otros esfuerzos que vale la pena. "Esto es un parche muy ligero martes de Microsoft y los equipos de seguridad deben estar aprovechando la situación para abordar los temas de limpieza. Tómese el tiempo este mes para encontrar todos los fuera de la fecha del sistema Microsoft y aplicar todas las actualizaciones necesarias de las vulnerabilidades de 2009 ". Tormentas agregó, sin embargo, que "Uno de los fallos más significativos que no se parcheado de este mes es una negación de la vulnerabilidad SMB servicio ataque que ha estado abierto desde mediados de noviembre. Dado que Microsoft ha dejado el error abierto para este tiempo, ahora está claro que la amenaza no es tan grave como mucha gente cree. " Adobe y Oracle unen a la lucha Mientras que Adobe y Oracle no siguen la misma actualización de seguridad y el ciclo de liberación de parches de Microsoft, tanto por coincidencia lanzado actualizaciones críticas de su propio día de hoy. Adobe publicó una revisión trimestral que trata una vulnerabilidad de día cero en Adobe Reader que ha sido explotada activamente en su hábitat desde los días de fiesta. Como solución temporal, Adobe ha recomendado la elaboración de listas negras de la función de JavaScript ser explotados. Tormentas nCircle's señaló que "Una vez examinado el formato de documento más seguro, Adobe PDF se ha caído presa de una ola de amenazas de seguridad graves. Después de un año con las cuestiones de seguridad, seguridad de productos de Adobe y las prácticas de desarrollo seguro de los productos están siendo seriamente cuestionada. Es irónico que considerar que que puede haber alcanzado el punto en que documentos de Microsoft Office son ahora más seguros que los documentos PDF. " Las tormentas también se refirió a la solución recomendada de Adobe "Parte de la controversia que rodea a esta vulnerabilidad ha sido el consejo de mitigación de Adobe que incluye la recomendación de desactivar JavaScript. Las cuestiones de seguridad que rodea JavaScript y Adobe han dejado un montón de gente preguntando por qué se incluye JavaScript en los productos de Adobe PDF en todos ". Wolfgang Kandek, CTO de Qualys explica, además, "lista negra es una capacidad introducido por Adobe en su última actualización de Adobe Reader v9 y v8 en octubre de 2009 y podría no ser familiar para muchos administradores de TI todavía. Una recomendación alternativa es desactivar JavaScript por completo en Adobe Reader - JavaScript ha desempeñado un papel fundamental en la explotación de Adobe Reader en 2009, por lo que esta una buena medida preventiva y defensiva. Dado que esta configuración deshabilita la funcionalidad que pueden necesitar los usuarios, los administradores de TI necesitan para evaluar su situación particular. " De Oracle se unió al partido, así, el despliegue de una revisión trimestral de su cuenta. La actualización de Oracle contiene un total de 24 cambios que afectan a siete diferentes productos de Oracle. La mayoría de las vulnerabilidades son explotables remotamente sin autenticación, lo que los problemas de seguridad críticos. Los servidores de base de datos no deben ser expuestos a la red, pero los administradores de TI necesitan para examinar los servidores de aplicaciones afectadas para determinar la cantidad de riesgo que los servidores están expuestos. Exploits de día cero Kandek Qualys "también señaló que una Intevydis, una firma de investigación de seguridad de Rusia, anunció la semana pasada que tiene previsto publicar el servidor basado en vulnerabilidades de día cero en las próximas tres semanas. "Los dos primeros están vivos y han POC [prueba de concepto] código de Sun Directory Server 7.0 y Tivoli Directory Server 6.2. Estamos vigilando estas emisiones y los mantendremos informados sobre los nuevos acontecimientos".