Denne månedens sikkerhetsoppdateringer er ute. Det er en mengde sikkerhetsoppdateringer for Android, Windows-produkter, Firefox, Adobe-produkter og SAP.
Firefox versjon 55 med flere kritiske oppdateringer
| Firefox 55 er sluppet med 30 sikkerhetsoppdateringer. Av disse er 5 kategorisert som kritiske. De kritiske oppdateringene omhandler flere forskjellig svakheter, blant annet en svakhet (CVE-2017-7798) i developer-tools som kan tillate eksekvering av kode ved hjelp av en ondsinnet webside. WebSockets er også berørt (CVE-2017-7800), der en use-after-free svakhet kan oppstå om objektet som opprettholder tilkoblingen blir frigjort før frakoblingsprosedyren er ferdig. Dette kan føre til en kræsj som kan utnyttes. En annen use-after-free svakhet kan også oppstå om brukeren endrer størrelsen på et vindu når siden inneholder et marquee-element. Dette kan skje fordi det oppdaterte style-objektet blir frigjort mens det er i bruk. |
||||
| Anbefaling | ||||
|---|---|---|---|---|
| Oppdater berørte systemer | ||||
| Referanser | ||||
|
https://www.mozilla.org/en-US/security/adviso[...] |
||||
Google patchet 10 kritiske svakheter i Android
| Google patchet 10 kritiske sårbarheter i sine månedlige sikkerhetsoppdatering for Android. I alt ble det rettet 49 svakheter. Mange av svakhetene er knyttet til Android sitt mediarammeverk, som består av blant annet MediaServer, AudioServer og CameraServer. Oppdateringen fikset også en rekke sårbarheter knyttet til Android sine Kernel komponenter, og chipset produsert av MediaTek, Broadcom og Qualcomm. | ||||
| Anbefaling | ||||
|---|---|---|---|---|
| Installer oppdatering. | ||||
| Referanser | ||||
|
https://threatpost.com/google-patches-10-crit[...] |
||||
25 kritiske svakheter i denne månedens oppdateringer fra Microsoft
| Microsoft har sluppet 48 sikkerhetsoppdateringer for August. Dette inkluderer oppdateringer for Windows, Internet Explorer (IE), Edge, Linux subsystem, Kernel, SharePoint, SQL-Server og Hyper-V. Av 48 oppdateringer er 25 listet som kritiske. En feil i SMB (CVE-2017-8620) gir en angriper mulighet til å eksekvere kode på en ekstern host gjennom en ondsinnet SMB-spørring. Denne regnes av mange som denne månedenes viktigste oppdatering. I Hyper-V er det oppdaget en svakhet (CVE-2017-8664) som muliggjør ekstern kodeeksekvering. Svakheten er et resultat av manglende validering av input sendt av autentiserte brukere på et gjesteoperativsystem. Dette kan gi en angriper tilgang til den underliggende hypervisoren. Microsofts egen JavaScript-motor Chakra, som er integrert i blant annet Microsoft Edge, har en svakhet (CVE-2017-8641) som lar en angriper eksekvere kode eksternt. Dette gjøres ved hjelp av tilpassede websider eller filer. Svakheten ligger i håndtering av JavaScript sin eval-funksjon, der manglende validering fører til en buffer-overflow. Dette gir mulighet for å eksekvere programkode i konteksten til applikasjonen. Ekstern kodeeksekvering (CVE-2017-8635) er mulig i Microsoft Edge og Internet Explorer 10-11 ved å utnytte måten JavaScript-motoren håndterer objekter i minnet. Svakheten utnyttes ved hjelp av en spesielt tilpasset nettside, og kan gi en angriper full kontroll over systemet. En annen ekstern rettighetseskalerings (CVE-2017-8653) er oppdaget i Microsoft Internet Explorer. Svakheten krever at bruker besøker en spesiallaget side som utnytter måten Internet Explorer håndterer HTML-dokumenter. Angriper kan potensielt få tilgang til minne, og videre eksekvere kode under konteksten til brukeren. En ekstern kodeeksekvering-svakhet (CVE-2017-0250) finnes også i Microsoft Windows. Svakheten lar en angriper eksekvere kode når bruker besøker en spesiallaget webside. Den spesifikke svakheten eksisterer i Microsoft Jet Engine Libray og er et resultat av manglende validering av input. Svakheten gir angriper tilgang på nivå med bruker. I Windows PDF Library er det oppdaget en svakhet (CVE-2017-0293) som tillater ekstern kodeeksekvering. Svakheten utnytter manglende validering i prosesseringen av JPEG2000 bildefiler. En angriper oppnår tilgang på nivå med prosessen selv. I Microsoft RDP eksisterer det en DOS-svakhet (CVE-2017-8673) som lar en angriper sende en spesielt utformet spørring som fører til at tjenesten blir utilgjengelig. |
||||
| Anbefaling | ||||
|---|---|---|---|---|
| Oppdater berørte systemer. | ||||
| Referanser | ||||
|
https://portal.msrc.microsoft.com/en-us/secur[...] https://www.zerodayinitiative.com/blog/2017/8[...] |
||||
Denne månedens oppdateringer fra Adobe
| Denne måneden har Adobe gitt ut to kritiske oppdateringer for Adobe Flash, Adobe Digital Edition, Adobe Reader samt en viktig oppdatering for Adobe Experience Manager. For Adobe Flash er oppdateringen ganske liten, mens for Adobe Reader er oppdateringen større ettersom den omhandler 43 kritiske og 24 viktige sikkerhetshull. De fleste er relatert til korrupt minne, som gir en angriper muligheten til å eksekvere ondsinnet kode. Utnyttelse krever at bruker åpner en spesiallaget fil. For Adobe Digital Edition er det to kritiske og syv viktige sikkerhetshull som fikses. Disse omhandler informasjonsavsløring på grunn av lekkede minneadresser. For Experience Manager er det tre forskjellige problemer som fikses. |
||||
| Anbefaling | ||||
|---|---|---|---|---|
| Installer oppdatering. | ||||
| Referanser | ||||
|
https://www.zerodayinitiative.com/blog/2017/8[...] https://helpx.adobe.com/security/products/exp[...] |
||||
SAP fikser 19 sikkerhetshull i sine produkter
| SAP ga denne uken ut en oppdatering for sine produkter for å fikse totalt 19 sikkerhetshull. De fleste sikkerhetshullene som er fikset denne måneden er relatert til cross-site-scripting. | ||||
| Anbefaling | ||||
|---|---|---|---|---|
| Installer oppdatering. | ||||
| Referanser | ||||
|
http://www.securityweek.com/sap-resolves-19-v[...] https://blogs.sap.com/2017/08/08/sap-security[...] |
||||