«Вторник Патчей», март 2021 года: Windows 10 получит множество обновлений безопасности

Грядущий «Вторник Патчей» должен стать насыщенным, потому что в эти дни было много новостей, связанных с безопасностью.

Центр реагирования на инциденты безопасности Майкрософт (Microsoft Security Response Center) сообщил об известных атаках на серверы Microsoft Exchange со стороны хакерской группировки Hafnium. В своих атаках злоумышленники эксплуатировали четыре уязвимости с идентификаторами CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 и CVE-2021-27065. Все они являются уязвимостями удаленного выполнения кода с базовой оценкой по шкале CVSS v3 от 7,8 до 9,1 баллов. Microsoft сообщила, что атаки являются активными и необходимо как можно скорее обновить серверы с внешним доступом. Компания также подготовила несколько скриптов PowerShell, которые помогают установить, подвергался ли сервер взлому.

Новейшие обновления безопасности, разработанные Microsoft для устранения этих уязвимостей, доступны только для Exchange Server 2013 (CU23), Exchange Server 2016 (CU18 или CU19) и Exchange Server 2019 (CU7 или CU8). Перед установкой исправлений необходимо установить новейшие накопительные обновления. Обновления применяются в автоматическом режиме с необходимостью перезагрузки серверов.

Кроме того, Microsoft подготовила отдельное обновление для Exchange Server 2010 SP3 в соответствии с концепцией «глубокой защиты» (Defense in Depth). Примечательно, что Exchange Server 2010 не уязвим для этой конкретной атаки, но Microsoft решила исправить некоторые смежные уязвимости в данном продукте. Служба Exchange Online не подвержена данным уязвимостям. Следующий набор накопительных обновлений, который выйдет в марте для всех трех затронутых версий Exchange Server, будет включать необходимые обновления безопасности.

Напомним, что в феврале Microsoft исправила относительно немного уязвимостей. Мы уже привыкли, что компания регулярно устраняет 50 и более уязвимостей в Windows 10, но в феврале их было только 28. В этих внеочередных обновлениях Редмонд уже устранил четыре уязвимости нулевого дня, а теперь давайте рассмотрим, какие обновления мы может ожидать на этой неделе:

• В марте ожидается большое количество исправлений уязвимостей в Windows 10 и других поддерживаемых ОС семейства Windows, а также в Office, Microsoft 365 и в серверах SharePoint. Несколько месяцев прошли без обновлений Internet Explorer, поэтому вероятность их выпуска велика. Ранее Microsoft объявила, что включить обновления служебного стека (SSU) в пакет накопительного обновления для Windows 10.
• В прошлом месяце Adobe выпустила обновления безопасности для многих своих продуктов. В этот раз компания не делала никаких предварительных анонсов, поэтому каких-либо серьезных обновлений ждать не стоит.
• Apple регулярно выпускает обновления безопасности и производительности для macOS Big Sur, но мы так и не увидели патчи для iTunes, выпуск которых прогнозировался еще в прошлом месяце. В этот раз шансы еще выше.
• Google выпускает обновления безопасности за неделю до «Вторника Патчей». На прошлой неделе Chrome для Windows, Mac и Linux был обновлен до версии 89.0.4389.72, которая поставляется с 47 исправлениями безопасности. Затем была выпущена еще одна версия 89.0.4389.82. На этот неделе выпуск еще одного обновления не предвидится.
• 23 февраля Mozilla выпустила серию незначительных обновлений безопасности для Firefox, Firefox ESR и Thunderbird. На этой неделе ждем более крупное обновление безопасности.

Еще раз подчеркнем, что если вы используете продукты Microsoft Exchange Server, то вам необходимо как можно скорее установить доступные обновления безопасности для обеспечения защиты.