Veckans Patch Tuesday var en s\u00e4llsynt uppdatering fr\u00e5n Microsoft och vi har lagt till Windows, Microsoft Development Platform och Adobe Reader till v\u00e5rt “Patch Now”-program. <\/p>\n
Dessa uppdateringar drivs av nolldagarspatchen (CVE-2021-40444<\/a>) till Microsoft MSHTML webbl\u00e4sares k\u00e4rnbibliotek. F\u00f6rutom att den h\u00e4r uppdateringen ger upphov till betydande farh\u00e5gor om fj\u00e4rrk\u00f6rning av kod, kan den h\u00e4r uppdateringen ocks\u00e5 orsaka ov\u00e4ntat beteende i \u00e4ldre applikationer som \u00e4r beroende av eller inkluderar den h\u00e4r webbl\u00e4sarkomponenten. Se till att utv\u00e4rdera din portf\u00f6lj av nyckelapplikationer som har dessa beroenden och utf\u00f6r ett fullst\u00e4ndigt funktionstest innan implementering. (Vi har identifierat n\u00e5gra viktiga begr\u00e4nsningsstrategier f\u00f6r att hantera ActiveX-kontroller och f\u00f6r att skydda ditt system under test- och distributionsfaserna.)<\/p>\n Du kan ocks\u00e5 hitta mer information om riskerna med att distribuera dessa Patch Tuesday-patchar.i denna infografik<\/a>.<\/p>\n Det har inte rapporterats n\u00e5gra h\u00f6griskf\u00f6r\u00e4ndringar till Windows-plattformen denna m\u00e5nad. Det finns dock en rapporterad funktions\u00e4ndring och en ytterligare funktion:<\/p>\n Att testa dina \u00e4ldre applikationer och skriva ut kommer att vara en nyckeluppgift n\u00e4r du hanterar septemberuppdateringen (och under \u00f6versk\u00e5dlig framtid). Det \u00e4r viktigt att leta efter skrivardrivrutinsprogram som fortfarande anv\u00e4nder 32-bitars kod f\u00f6r applikationshantering f\u00f6r att undvika “thunking”. Detta omr\u00e5de av intresse relaterar till hur minne hanteras mellan 32-bitars och 64-bitars applikationer. Om du letar efter ett scenario d\u00e4r allt g\u00e5r s\u00f6nder, vid of\u00f6ruts\u00e4gbara tidpunkter, och p\u00e5verkar k\u00e4rnsystemen, f\u00f6rs\u00f6k att hitta en f\u00f6r\u00e5ldrad skrivardrivrutin med gammal programvara f\u00f6r skrivarhantering. <\/p>\n I verkligheten \u00e4r det mer sannolikt att resultaten hittar dig.<\/p>\n \u00c4ven om vi ofta fokuserar p\u00e5 tryckta och \u00e4ldre applikationer, har fj\u00e4rrarbete sett en enorm \u00f6kning under pandemin. Vi erbjuder f\u00f6ljande VPN-specifika testrekommendationer denna m\u00e5nad:<\/p>\n Varje m\u00e5nad inkluderar Microsoft en lista \u00f6ver k\u00e4nda problem relaterade till operativsystemet och plattformarna i den senaste uppdateringscykeln. Jag har h\u00e4nvisat till n\u00e5gra viktiga problem som relaterar till de senaste versionerna fr\u00e5n Microsoft, inklusive:<\/p>\n I skrivande stund (f\u00f6r uppdateringscykeln i juli) fanns det fyra stora uppdateringar av tidigare sl\u00e4ppta uppdateringar:<\/p>\n Den h\u00e4r m\u00e5naden sl\u00e4ppte Microsoft en l\u00f6sning f\u00f6r MSHTML<\/a> uppdatering. F\u00f6retaget (Inte f\u00f6r f\u00f6rsta g\u00e5ngen<\/a>) rekommenderar att du inaktiverar Active X. Vi rekommenderar att du inaktiverar ActiveX som en allm\u00e4n regel och anv\u00e4nder gruppolicy f\u00f6r dina hanterade plattformar. H\u00e4r \u00e4r n\u00e5gra enkla steg f\u00f6r att se till att ActiveX \u00e4r inaktiverat:<\/p>\n Du kan ocks\u00e5 ange specifika registernycklar och komponent-ID:n f\u00f6r enskilda applikationer (till exempel Microsoft Word) \u2014uppt\u00e4ck mer h\u00e4r<\/a>. Microsoft rekommenderar ocks\u00e5 att du placerar \u00f6ppna dokument i “Skyddad vy<\/a>\u201d och anv\u00e4nd Office-versionen av Applikationsskydd<\/a>. Och om du har valt en fullst\u00e4ndig Microsoft-stack och distribuerat Defender kan du anv\u00e4nda minskad attackyta<\/a> standarder f\u00f6r att minska risken f\u00f6r exponering f\u00f6r detta allvarliga s\u00e4kerhetsproblem.<\/p>\n Varje m\u00e5nad delar vi upp uppdateringscykeln i produktfamiljer (enligt definitionen av Microsoft) med f\u00f6ljande grundl\u00e4ggande grupperingar:<\/p>\n Microsoft sl\u00e4ppte 26 uppdateringar till den Chromium-baserade Edge-webbl\u00e4saren denna m\u00e5nad. Ut\u00f6ver dessa patchar sl\u00e4ppte Chromium-projektet \u00e4ven 11 s\u00e4kerhetsrelaterade uppdateringar i september (Chrome Release Notes<\/a>). \u00c4ven om webbl\u00e4sarkriget \u00e4r \u00f6ver, och Microsoft nu anv\u00e4nder \u00f6ppen k\u00e4llkod, \u00e4r den st\u00e4ndiga typen av s\u00e4kerhetsproblem “Use After Free”-minne (aka. H\u00e4ngande pekare<\/a>) tilldelningsfel. Dessa minnesallokeringsklasser<\/a> Buggar \u00e4r fortfarande de vanligaste och m\u00e5nadens uppdatering (l\u00e4s CVE-2021-30610) \u00e4r ett bra exempel p\u00e5 den p\u00e5g\u00e5ende kampen f\u00f6r att ligga f\u00f6re skurkarna. De f\u00f6reslagna \u00e4ndringarna av Edge kommer att ha liten eller ingen inverkan p\u00e5 f\u00f6retagssystem denna m\u00e5nad. L\u00e4gg till dessa uppdateringar till ditt vanliga skrivbordsuppdateringsschema.<\/p>\n Microsoft har sl\u00e4ppt 35 uppdateringar f\u00f6r Windows-plattformen med tv\u00e5 klassade kritiska (CVE-2021-36965<\/a> och CVE-2021-26435<\/a>) f\u00f6r denna cykel. \u00c4ven om detta inte \u00e4r den st\u00f6rsta uppdateringen vi har sett p\u00e5 l\u00e4nge, p\u00e5verkar den h\u00e4r utg\u00e5van flera nyckelomr\u00e5den p\u00e5 plattformen: n\u00e4tverk, k\u00e4rndrivrutiner, Windows Installer, viktiga grafikkomponenter (GDI<\/a>), och n\u00e5gra viktiga diagnostiska verktyg (Windows felrapportering<\/a>). <\/p>\n Men den verkliga oro den h\u00e4r m\u00e5naden f\u00f6r test- och distributionsteam \u00e4r vad som har \u00e5tersl\u00e4ppts: CVE-2021-40444<\/a>. Den sl\u00e4pptes tidigare denna m\u00e5nad och har sett tv\u00e5 uppdateringar sedan den f\u00f6rsta releasen. MSHTML-problemet \u00e4r ett verkligt problem eftersom det relaterar till en central webbl\u00e4sarkomponent som ofta anv\u00e4nds i olika applikationer. Det \u00e4r som att ha Internet Explorer integrerad i din huvudsakliga aff\u00e4rsapplikation (ja, jag vet). <\/p>\n Du vill egentligen inte ha den h\u00e4r komponenten i din utvecklingsportf\u00f6lj och du m\u00e5ste snabbt ta reda p\u00e5 vilka applikationer som \u00e4r beroende av den. Vi gjorde en snabb genoms\u00f6kning av v\u00e5ra vanliga appar som anv\u00e4nder MSHTML-biblioteket och fann att 5-10 % av “\u00e4ldre appar” (appar \u00e4ldre \u00e4n fem \u00e5r) var direkt beroende av MSHTML. Dessa applikationer kommer att kr\u00e4va omfattande tester och \u00e4r sannolikt problemomr\u00e5den f\u00f6r alla f\u00f6retag. Tyv\u00e4rr m\u00e5ste vi l\u00e4gga till dessa Windows-uppdateringar till v\u00e5rt “Patch Now”-program f\u00f6r denna m\u00e5nad.<\/p>\n Microsoft har sl\u00e4ppt 12 uppdateringar till sin Office-plattform den h\u00e4r m\u00e5naden, alla klassade som viktiga. (Korrekt, det finns inga viktiga uppdateringar f\u00f6r Office, Exchange eller SharePoint i den h\u00e4r patchcykeln.) Delade Word-, Excel-, Visio- och Microsoft Office-bibliotek (till exempel MSO och delad kod som \u00e4r gemensam f\u00f6r alla Microsoft Office-komponenter) p\u00e5verkas denna m\u00e5nad. Inga av de rapporterade s\u00e4kerhetsproblemen inkluderar “f\u00f6rhandsgranskningspanel” eller andra mycket s\u00e5rbara attackvektorer. <\/p>\n L\u00e4gg till dessa Microsoft September-uppdateringar till ditt standardutgivningsschema.<\/p>\n Vi har den lyckliga positionen i september att inte beh\u00f6va distribuera br\u00e5dskande uppdateringar till Microsoft Exchange Server. Som sagt, det finns tv\u00e5 uppdateringar till SharePoint Server (CVE-2021-38651<\/a>, CVE-2021-38652<\/a>) som kr\u00e4ver uppm\u00e4rksamhet. B\u00e5da kr\u00e4ver en omstart p\u00e5 servern. S\u00e5 \u00e4ven med en minskad br\u00e5dska startar vi alla om v\u00e5ra Office-servrar denna m\u00e5nad. <\/p>\n Inga ytterligare \u00e5tg\u00e4rder kr\u00e4vs f\u00f6r Exchange Server-relaterade uppdateringar.<\/p>\n Microsoft har sl\u00e4ppt tre uppdateringar till Visual Studio-plattformen (CVE-2021-36952<\/a>, CVE-2021-26437<\/a>, CVE-2021-26434<\/a>) alla klassade som viktiga. Vi tittar generellt p\u00e5 dessa uppdateringar och rekommenderar att du l\u00e4gger till dem i ett standardutgivningsschema. men vi tror CVE-2021-36952<\/a> och CVE-2021-26434<\/a> kr\u00e4ver ett snabbt svar p\u00e5 grund av deras potentiella fj\u00e4rrkodexekvering (RCE) och privilegieh\u00f6jdsscenarier<\/a>.<\/p>\n Jag gillar att s\u00e4ga att RCE-problem \u00e4r dagens problem. Oro f\u00f6r h\u00f6jningar av privilegier (EOP) \u00e4r fr\u00e5gorna denna eftermiddag. L\u00e4gg till den h\u00e4r Microsoft-utvecklaruppdateringen till ditt “Patch Now”-program. Och ja, vi har inte gjort den h\u00e4r rekommendationen p\u00e5 minst tv\u00e5 \u00e5r.<\/p>\n Det h\u00e4r avsnittet har tidigare konfigurerats f\u00f6r att hantera de m\u00e5nga (och ibland sm\u00e4rtsamma) Adobe Flash-uppdateringarna genom \u00e5ren. Med den senaste (och f\u00f6rhoppningsvis sista) uppdateringen inklusive kill-bitar f\u00f6r Flash och Shockwave, t\u00e4nkte vi att vi skulle ta bort det h\u00e4r avsnittet. Adobe Reader \u00e4r dock en k\u00e4rnkomponent i de flesta skrivbordsdatorer f\u00f6r f\u00f6retag och kommer sannolikt att forts\u00e4tta som standard PDF-l\u00e4sare i n\u00e5gra \u00e5r till. <\/p>\n S\u00e5 ist\u00e4llet f\u00f6r att fokusera p\u00e5 alla Adobe-produkter kommer vi att ta itu med fr\u00e5gor som r\u00f6r PDF-fils\u00e4kerhet (s\u00e4rskilt utskrift) och Adobe Reader. Och lyckligtvis har vi en rad Adobe-uppdateringar som kommer i september (jag sparar “\u00f6verfl\u00f6dighetshorn” till oktober), med s\u00e4rskilt fokus p\u00e5 Acrobat. <\/p>\n Adobe har lanserats 26 uppdateringar<\/a> med sju klassade som kritiska eftersom de relaterar till minnesproblem som kan leda till fj\u00e4rrk\u00f6rning av kod (CER<\/a>) scenarier. Det finns n\u00e5gra allvarliga problem med dessa rapporterade s\u00e5rbarheter, \u00e4ven om de alla kr\u00e4ver anv\u00e4ndarinteraktion och det finns inga rapporter om offentligt avsl\u00f6jande eller utnyttjande. L\u00e4gg till dessa Adobe Reader-uppdateringar till din “Patch Now”-uppdateringsutgivningscykel. <\/p>\n Och ja, det \u00e4r f\u00f6rsta g\u00e5ngen vi g\u00f6r denna rekommendation.<\/p>\n <\/span>Nyckeltestscenarier<\/span><\/h2>\n
\n
\n
<\/span>K\u00e4nda problem<\/span><\/h2>\n
\n
<\/span>Viktiga \u00e4ndringar<\/span><\/h2>\n
\n
<\/span>Begr\u00e4nsningar och alternativa l\u00f6sningar<\/span><\/h2>\n
\n
\n
<\/span>webbl\u00e4sare<\/span><\/h2>\n
<\/span>f\u00f6nster<\/span><\/h2>\n
<\/span>Microsoft Office<\/strong><\/span><\/h2>\n
<\/span>Microsoft Exchange Server<\/span><\/h2>\n
<\/span>Microsofts utvecklingsplattformar<\/span><\/h2>\n
<\/span>Adobe (egentligen bara Reader)<\/span><\/h2>\n