Выпущены ноябрьские обновления безопасности Microsoft

В ноябре компания Microsoft выпустила обновления безопасности, закрывающие 112 уязвимостей в своих продуктах, 17 из которых классифицированы как Критические.

В данной статье я расскажу о самых главных моментах этого выпуска.

Общий взгляд

Сводная информация по количеству и типу уязвимостей в соответствующих продуктах приведена на графике ниже:

График. Сводная информация по количеству и типу уязвимостей в соответствующих продуктах ноября

Представляем новую версию нашего портала

С этого месяца мы перешли на использование новой версии портала Security Updates Guide (SUG), доступной по адресу aka.ms/sug.

Подробности можно прочитать в нашем блоге.

Снимок экрана новая версия портала Security Updates Guide (SUG)

По многочисленным просьбам была добавлена темная тема оформления 😊

темная тема оформления Security Updates Guide (SUG)

Также была переработана структура описания уязвимостей и теперь она полностью выверена с атрибутами системы оценки уязвимостей CVSS. Подробности можно прочитать в нашем блоге.

Снимок экрана: переработанная структура описания уязвимостей и теперь она полностью выверена с атрибутами системы оценки уязвимостей CVSS

Нам очень интересно узнать ваше мнение о новом портале Security Updates Guide, поэтому мы призываем вас поделиться обратной связью о работе портала через эту форму.

Обратите внимание

На следующие уязвимости и обновления безопасности следует обратить особое внимание:

 

Windows

CVE-2020-17042 Windows Print Spooler Remote Code Execution Vulnerability
Impact Remote Code Execution
Severity Critical
Publicly Disclosed? No
Known Exploits? No
Exploitability Exploitation less likely
CVSS Base Score 8.8
Attack Vector Network
Attack Complexity Low
Privileges Required None
User Interaction Required
Affected Software All supported versions of Windows
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17042

 

CVE-2020-17087 Windows Kernel Local Elevation of Privilege Vulnerability
Impact Elevation of Privilege
Severity Important
Publicly Disclosed? Yes
Known Exploits? Yes
Exploitability Assessment Exploitation Detected
CVSS Base Score 7.8
Attack Vector Local
Attack Complexity Low
Privileges Required Low
User Interaction None
Affected Software All supported versions of Windows
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17087

 

Microsoft Browsers

CVE-2020-17058 Microsoft Browser Memory Corruption Vulnerability
Impact Remote Code Execution
Severity Critical
Publicly Disclosed? No
Known Exploits? No
Exploitability Assessment Exploitation less likely
CVSS Base Score 7.5
Attack Vector Network
Attack Complexity High
Privileges Required None
User Interaction Required
Affected Software Microsoft Edge (HTML-based) and Internet Explorer 11 on Windows 10, Windows Server 2016, and Windows Server 2019
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17058

 

Microsoft Office

CVE-2020-17064 Microsoft Excel Remote Code Execution Vulnerability
Impact Remote Code Execution
Severity Important
Publicly Disclosed? No
Known Exploits? No
Exploitability Assessment Exploitation less likely
CVSS Base Score 7.8
Attack Vector Local
Attack Complexity Low
Privileges Required None
User Interaction Required
Affected Software Microsoft 365 Apps for Enterprise, Excel 2010, Excel 2013, Excel 2016, Office 2010, Office 2013, Office 2016, Office 2019, Office Online Server, Office Web Apps 2013
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17064

 

CVE-2020-17091 Microsoft Teams Remote Code Execution Vulnerability
Impact Remote Code Execution
Severity Important
Publicly Disclosed? No
Known Exploits? No
Exploitability Assessment Exploitation less likely
CVSS Base Score 7.8
Attack Vector Local
Attack Complexity Low
Privileges Required None
User Interaction Required
Affected Software Microsoft Teams
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17091

 

Microsoft SharePoint Server

CVE-2020-17061 Microsoft SharePoint Remote Code Execution Vulnerability
Impact Remote Code Execution
Severity Important
Publicly Disclosed? No
Known Exploits? No
Exploitability Assessment Exploitation more likely
CVSS Base Score 8.8
Attack Vector Network
Attack Complexity Low
Privileges Required Low
User Interaction None
Affected Software Microsoft SharePoint Server 2019, SharePoint Foundation 2013, SharePoint Foundation 2010, and SharePoint Enterprise Server 2016
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17061

 

Microsoft Exchange Server

CVE-2020-17084 Microsoft Exchange Server Remote Code Execution Vulnerability
Impact Remote Code Execution
Severity Important
Publicly Disclosed? No
Known Exploits? No
Exploitability Assessment Exploitation less likely
CVSS Base Score 8.5
Attack Vector Network
Attack Complexity High
Privileges Required Low
User Interaction None
Affected Software Microsoft Exchange Server 2013, Exchange Server 2016, and Exchange Server 2019
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17084

 

Visual Studio

CVE-2020-17104 Visual Studio Code JSHint Extension Remote Code Execution Vulnerability
Impact Remote Code Execution
Severity Important
Publicly Disclosed? No
Known Exploits? No
Exploitability Assessment Exploitation less likely
CVSS Base Score 7.8
Attack Vector Local
Attack Complexity Low
Privileges Required None
User Interaction Required
Affected Software Visual Studio Code JSHint Extension
More Information https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17104

Рекомендации по безопасности

ADV990001 – Latest Servicing Stack Updates (SSU)

Обновления SSU были выпущены для следующих версий Windows:

  • Windows 10 1809/Server 2019
  • Windows 10 1903/Windows Server, version 1903
  • Windows 10 1909/Windows Server, version 1909
  • Windows 10 2004/Windows Server, version 2004
  • Windows 10 20H2/Windows Server, version 20H2

О важных изменениях в жизненном цикле обновлений SSU и объединении в единый накопительный пакет обновлений Вы можете прочитать в нашем блоге.

Окончание поддержки

В ноябре заканчивается поддержка следующих продуктов:

  • Windows 10 1809 (Home, Pro, Pro EDU, Pro for Workstation, IoT Core)
  • Windows Server version 1809

Все подробности – на нашем портале aka.ms/lifecycle.

Внимание: В сентябре закончилась поддержка Microsoft Office 2010 и Microsoft Exchange 2010. Все, что нужно об этом знать – в нашем блоге.

Внимание: 14 января 2020 г. закончилась поддержка Windows 7, Windows Server 2008, Windows Server 2008 R2. Обновления безопасности доступны только заказчикам с контрактом Extended Security Updates (ESU). Подробности о ESU можно получить в этой статье. Подробности об окончании поддержки и вариантах миграции на нашем портале.

Возможные проблемы

Полный список статей базы знаний для соответствующих пакетов обновлений, с которыми связаны потенциальные проблемы при установке приведен в заметках к выпуску.

Дополнительная информация

Самую полную и актуальную информацию об уязвимостях и обновлениях безопасности вы можете найти на нашем портале Security Update Guide.

Запись вебинара с разбором этого выпуска

Вы также можете посмотреть запись нашего ежемесячного вебинара “Брифинг по безопасности”, посвященного подробному разбору текущего выпуска обновлений и бюллетеней безопасности компании Microsoft.

А для того, чтобы быть в курсе самых актуальных новостей информационной безопасности Microsoft, подписывайтесь на канал https://aka.ms/artsin.

Помните, для 86% всех уязвимостей были доступны патчи на момент их обнародования*, и своевременно обновляйте ваши системы.

 

 

Артём Синицын CISSP, CCSP, MCSE, Certified Azure Security Engineer

руководитель программ информационной безопасности

в странах Центрально и Восточной Европы

Microsoft

Twitter: https://aka.ms/artsin

YouTube: https://aka.ms/artsinvideo


*Vulnerability Review Report 2018 by Flexera

Tags: , , ,

Связанные посты