מיקרוסופט שיחררה שישה עדכוני אבטחה לחלונות - ארבעה מתוכם מסווגים כקריטיים

חברת שיחררה את חבילת עדכוני האבטחה החודשית שלה. העדכונים כוללים תיקונים לבעיות במערכות Windows, באינטרנט אקספלורר ובתוכנת ה- (SSL (Secure Sockets Layer שמאפשרת גלישה מאובטחת באינטרנט.



החבילה כוללת שישה טלאי תוכנה (patches) המתקנים 15 בעיות במוצרי החברה. ארבעה מתוכם מסווגים כ"קריטיים". מספר מומחי אבטחה כבר דיווחו כי מומלץ לאדמיניסטרטורים להתקינם בהקדם האפשרי.



חלק גדול מנקודות התורפה אותן תיקנה מיקרוסופט השבוע ניתן לנצל דרך הרשת. בפרט יש לשים לב לעדכון MS07-033, המתקן מספר בעיות בדפדפן האינטרנט אקספלורר, ולעדכון MS07-031, הנותן מענה לפגם קריטי בספריות ה-SSL בהן עושה מערכת ההפעלה שימוש.



נקודת התורפה הקשורה ב-SSL מעניינת במיוחד, זאת מכיוון שהיא משפיעה על משתמשים אשר מבקרים באתרים אמינים לכאורה, וכן מכיוון שהיא נוגעת גם לדפדפנים שאינם מתוצרת מיקרוסופט, כגון פיירפוקס או אופרה. לדבריו של אמול סרוואט, מנהל מעבדת המחקר קואליס (Qualys), הבעיה תשפיע על כל הדפדפנים שעושים שימוש בספריות ה-SSL של מערכת ההפעלה.



למרות שמיקרוסופט הזהירה מכך שפגם זה עלול להיות מנוצל על ידי האקרים להחדרה והפעלה של תוכנות זדוניות, התקפה כזו קשה מאוד למימוש. "ניסיון לנצל את נקודת התורפה הזו יסתיים בדרך כלל בכך שהדפדפן ייסגר", כתבה מיקרוסופט בהודעה המצורפת לעדכון הרלוונטי. "במקרה כזה המערכת לא היתה מצליחה להתחבר לאתר המבוקש באמצעות SSL עד לאחר אתחולו של המחשב".



שני עדכונים קריטיים נוספים הם MS07-035, המתקן באג ב-(Win32 API (application programming interface, הנמצא בליבה של מערכת ההפעלה, ו-MS07-034, המתקן מספר בעיות ביישומי אאוטלוק אקספרס ו-Windows Mail.



שאר העדכונים אותם שיחררה מיקרוסופט ביום שלישי נותנים מענה לפגמים חשובים פחות במערכת ההפעלה ויסטה וביישומי Visio.



לטענתו של סרוואט, העדכון לויסטה הינו יוצא דופן מכיוון שזו למעשה הפעם הראשונה בה מיקרוסופט מתקנת בעיה שנתגלתה במערכת ההפעלה החדשה עצמה. כל עדכוני התוכנה הקודמים של ויסטה תיקנו בעיות שמקורן בקוד ישן שנכתב עבור גרסאות מוקדמות של Windows, ונעשה בו שימוש חוזר בויסטה. אולם עדכון MS07-032 נוגע לראשונה לויסטה בלבד.



הפגם, שדרגת החומרה שלו בינונית (moderate), עלול לאפשר לתוקף להשיג גישה בלתי מורשית למידע כגון סיסמאות אדמיניסטרציה המאוחסנות בתוך מערכת ההפעלה.