Microsoft , Windows işletim sistemlerinde ve ilgili yazılımlarda 9’u kritik, 49’u önemli ve biri önem derecesi orta düzeyde olan toplam 59 güvenlik açığını gidermek için Ekim 2019 Salı güvenlik güncelleştirmelerini yayınladı.
Bu ayki yama güncellemesinin iyi yanı, çok uzun bir zaman sonra, yamanan güvenlik açıklarının hiçbirinin halka açık ya da aktif bir saldırı altında kullanılmamasıdır.
Ayrıca, bu ayki Windows güncellemesinde Adobe Flash Player için paketlenmiş bir düzeltme eki yok.
Bunun yanı sıra, Microsoft Windows 7 ve Windows Server 2008 R2 kullanıcıları için bir hatırlatma olarak bir bildirimde bulundu , bu iki işletim sistemi için genişletilmiş desteğin önümüzdeki iki ay içinde bitmek üzere olacaklarını ve 14 Ocak 2020’den itibaren artık güncelleme alamayacaklarını açıkladı.
Bu ay yamalanan kritik güvenlik açıklarından ikisi, VBScript motorundaki uzaktan kod yürütme hatalarıdır ve her ikisi de VBScript’in bellekteki nesneleri işleme biçiminde var olur ve saldırganların belleği bozmasına ve geçerli kullanıcının bağlamında rasgele kod yürütmesine olanak tanır.
CVE-2019-1238 ve CVE-2019-1239 olarak izlenen bu iki güvenlik açığı, mağdurları Internet Explorer aracılığıyla özel hazırlanmış bir web sitesini ziyaret etmeleri için kandırarak uzaktan kullanılabilir.
Saldırgan, bu sorunları, Internet Explorer görüntü oluşturma motorunu kullanan ‘başlatma için güvenli’ olarak işaretlenmiş bir ActiveX denetimini yerleştirerek bir uygulama veya Microsoft Office belgesi kullanarak da gerçekleştirebilir.
Yamalanan başka bir açıkla, bir RDP saldırısı düzenleyen korsanların, Windows yerleşik Remote Desktop Client uygulamasında kritik bir uzaktan kod yürütme güvenlik açığı kullanarak kötü niyetli bir RDP sunucusuna bağlanan istemci bilgisayarları denetleyebildiği saldırılardı.
BlueKeep güvenlik açığından farklı olarak, yeni eklenmiş RDP güvenlik açığı istemci tarafındadır ve saldırganın kötü niyetli bir RDP sunucusuna sosyal mühendislik, DNS zehirlenmesi veya Ortadaki Bir Adam (MITM) tekniğini kullanarak bağlanması için bir saldırganın kandırılmasını gerektirir.
Üç kritik RCE açığı, bellek bozulması kusurları, Chakra komut dosyası altyapısının Microsoft Edge’deki bellekteki nesneleri işleme şeklinde bulunmasıdır, ancak kritik rce kusurlarından biri Azure App Service Azure Yığını’nda Azure Uygulama Hizmeti olduğunda var olan ayrıcalık sorunudur bellek kopyalamadan önce arabelleğin uzunluğunu denetlemek için başarısız olur.
Bu ay Microsoft tarafından eklenen ve önemli olarak işaretlenen diğer güvenlik açıkları aşağıdaki Microsoft ürün ve hizmetlerinde bulunmaktadır:
- Microsoft Windows
- Internet Explorer
- Microsoft Edge
- ChakraCore
- Microsoft Office, Office Services and Web Apps
- SQL Server Management Studio
- Open Source Software
- Microsoft Dynamics 365
- Windows Update Assistant
Bu güvenlik açıklarının çoğu, ayrıcalık yükselmesine izin verir ve bazıları da uzaktan kod yürütme saldırılarına neden olurken, diğerleri de bilgilerin ifşası, siteler arası komut dosyası çalıştırma (XSS), güvenlik özelliği atlama, sahtecilik, tahrifat ve hizmet reddi saldırılarına izin verir .
Windows kullanıcılarına ve sistem yöneticilerine, siber suçluları ve bilgisayar korsanlarını bilgisayarlarının kontrolünü almaktan uzak tutma çabasıyla en son güvenlik düzeltme eklerini uygulamaları şiddetle tavsiye edilir.
En son Windows güvenlik güncelleştirmelerini yüklemek için, Ayarlar → Güncelleştirme ve Güvenlik → Windows Update → Bilgisayarınızdaki güncellemeleri kontrol et seçeneğine gidebilir veya güncellemeleri manuel olarak yükleyebilirsiniz.
