Årets sidste kvartalsvise sikkerhedsopdatering fra Oracle lukker 252 sikkerhedshuller. 155 af dem findes i Oracle Applications.
De alvorligste findes i Oracle Hospitality Reporting and Analytics, hvor to sårbarheder har fået en CVSS-score (Common Vulnerability Scoring System) på de maksimale 10. Samme score har en sårbarhed i Siebel Apps – Field Service fået.
Opdateringen lukker 22 sikkerhedshuller i Java SE. 20 af dem kan udnyttes over netværk af en angriber uden autentifikation. Den alvorligste har en CVSS-score på 9,6.
Sikkerhedsforskere fra Kaspersky opdagede i sidste uge et angreb, der udnyttede en hidtil ukendt sårbarhed i Adobe Flash Player. De alarmerede Adobe, der nu har udsendt en sikkerhedsopdatering.
Opdateringen lukker kun det ene hul. Det har fået Adobes højeste risikovurdering, idet angribere kan udnytte det til at afvikle skadelig programkode.
Angrebet kom fra en gruppe, som Kaspersky kalder BlackOasis. Den har udnyttet huller i Flash Player siden maj 2016.
Apple-analytiker Rene Ritchie skriver, at Apple har lukket sikkerhedshullet KRACK (Key Reinstallation Attacks) i kommende versioner af iOS, watchOS, tvOS og macOS.
Rettelserne findes i betaversioner, som softwareudviklere har adgang til. De vil senere blive udsendt generelt.
IOS er ikke så sårbar over for KRACK på grund af den måde, WPA2 er implementeret på.
Microsoft udsendte i forbindelse med oktober måneds sikkerhedsopdateringer rettelser, der skulle mindske risikoen for at blive berørt af en sårbarhed i TPM (Trusted Platform Module). Sikkerhedsforskere har nu oplyst, at den pågældende sårbarhed findes i krypteringsfunktioner i TPM-chipsæt fra Infineon.
Sårbarheden lader en angriber beregne den private nøgle, der hører til en offentlig nøgle.
Selvom man anvender nøgler med 1.024 eller 2.048 bitlængde, er de sårbare.
Nærmere detaljer vil blive offentliggjort om et par uger.
KRACK (Key Reinstallation Attacks) er en sårbarhed, der giver angribere mulighed for at aflytte data fra trådløse netværk, selvom de er krypterede.
Sårbarheden findes i WPA2-standarden (Wi-Fi Protected Access), som stort set alle trådløse netværksenheder understøtter. Fejlen ligger i udvekslingen af data, når en trådløs enhed forbinder sig til et adgangspunkt. Det sker i et såkaldt 4-way handshake.
Version 52.4 af mail-programmet Thunderbird lukker ni sikkerhedshuller. Kun et af dem har fået Mozillas højeste risikovurdering. Det består af en samling fejl i håndteringen af arbejdslageret.
Fem af de øvrige sårbarheder har fået den næsthøjeste risikovurdering.
Anbefaling
Genstart Thunderbird for at aktivere opdateringen.
I stedet for makroer kan angribere anvende DDE (Dynamic Data Exchange) til at afvikle programkode i Microsoft Word. Det har sikkerhedsforskere fra Sensepost opdaget.
Metoden går ud på at oprette et Word-dokument med et indlejret felt. I koden til feltet skriver angriberen den kommando, der skal afvikles.
Hvis et potentielt offer forsøger at åbne Word-dokumentet, afføder det to advarsler. Den første siger, at dokumentet har links til data, der kan komme fra andre filer.
Den anden advarsel beder brugeren bekræfte, at vedkommende ønsker at køre kommandoen.
En af oktober måneds sikkerhedsrettelser fra Microsoft lukker et hul i Outlook 2016. Sårbarheden medfører, at mails der skulle have været krypteret er blevet sendt uden kryptering.
Fejlen findes kun ved mails, der sendes uden formatering. Mails med HTML-formatering er ikke berørt.
Sårbarheden medfører, at mails der er sat til at blive krypteret med S/MIME, ganske vist bliver krypteret. Men sammen med den krypterede mail sender Outlook også en ukrypteret version.
Oktober måneds sikkerhedsrettelser fra SAP lukker 30 sikkerhedshuller. Ingen af dem har fået firmaets højeste risikovurdering, fem har fået den næsthøjeste.
Den alvorligste sårbarhed findes i SAP NetWeaver AS Java Web Container, den har fået en CVSS-score (Common Vulnerability Scoring System) på 7,7.
De øvrige sårbarheder findes i blandt andet SAP Standalone Enqueue Server, SAP Mobile Platform, SAP ERP Funds Management Account Assignments og Adobe Document Services.
Anbefaling
Test og installer sikkerhedsopdateringerne fra SAP.
