Microsoft bu hafta Ekim ayı için salı günü güncelleştirmelerini yayınladı. Bu güncelleştirmeler ile 9 kritik, 49 önemli ve 1 orta düzey olmak üzere 59 güvenlik açığı giderildi. Bu ay yayınlanan güncelleştirmelerin iyi tarafı, giderilen güvenlik açıklarının hiçbirinin henüz topluma açıklanmaması oldu.
Güncelleştirmeler ile giderilen iki kritik güvenlik açığı, VBScript motorunda RCE güvenlik açığına neden olmaktadır. Her iki açıklık VBScript motorunun bellekteki verileri işleme biçiminden kaynaklanıp saldırganların belleği bozmalarına ve saldırganların erişim sağladıkları kullanıcı hesabının hak ve yetkileriyle uzaktan kod çalıştırabilmelerine neden olmaktadır. Saldırganlar CVE-2019-1238 ve CVE-2019- 1239 olarak tanımlanan bu iki güvenlik açığından, kurbanların saldırganlar tarafından özel hazırlanmış bir web sitesini Internet Explorer üzerinden ziyaret etmeleri sonucu yararlanmaktadırlar.
Güncelleştirmeler ile giderilen üç kritik güvenlik açığı ise Chakra altyapısının Microsoft Edge belleğindeki nesneleri işleme biçiminden kaynaklanmaktadır ve RCE güvenlik açığına neden olmaktadır.
Bu ay yayınlanan salı günü güncelleştirmeleri ile giderilen önemli güvenlik açıklarının etkilediği servisler aşağıda listelenmiştir:
-
Microsoft Windows
-
Internet Explorer
-
Microsoft Edge
-
ChakraCore
-
Microsoft Office, Office Services and Web Apps
-
SQL Server Management Studio
-
Open Source Software
-
Microsoft Dynamics 365
-
Windows Update Assistant
Bu güvenlik açıklarının çoğu hak ve yetki yükseltme ve RCE güvenlik açıklarına neden olurken, diğer güvenlik açıkları XSS, güvenlik önlemlerini atlatma, veri sızdırma ve DOS saldırılarına neden olmaktadır. Güvenlik açıklarından etkilenmemek için güncelleştirmelerin en kısa sürede yapılması önerilmektedir.
Ramin Karimkhani
