Microsoft szykuje gigantyczną aktualizację

Subskrybuj RSS A A A
05 lutego 2010 14:47
securitystandard

W najbliższy wtorek Microsoft udostępni pakiet aktualizacji dla swoich produktów, składający się z 13 różnych poprawek (koncern wyrówna tym samym rekord ustanowiony w październiku 2009). Tym razem Microsoft zamierza usunąć ze swojego oprogramowania - głównie różnych wersji Windows - w sumie aż 26 różnych błędów.

"Dużo? To mało powiedziane. Ale moim zdaniem i tak należy do tego doliczyć aktualizację nr 14 - tę, którą Microsoft awaryjnie opublikował dwa tygodnie temu" - komentuje Andrew Storms, szef działu bezpieczeństwa firmy nCircle Network Security (o tym błędzie pisaliśmy w tekście "Krytyczna luka w IE - zaczęły się masowe ataki").

Pięć z trzynastu zapowiedzianych właśnie aktualizacji będzie miało status "poprawki krytycznej" (oznacza to, że będą usuwały one z oprogramowania błędy umożliwiające nieautoryzowane uruchomienie złośliwego kodu). Kolejne siedem oznaczonych będzie jako "ważne", zaś jedna - "umiarkowanie ważna". 11 z 13 poprawek przeznaczone będzie dla Windows, zaś dwie ostatnie - dla aplikacji z pakietu MS Office (XP, 2003 oraz 2004 for Mac).

"Interesujące jest to, że w tym miesiącu będzie zdecydowanie mniej niż zwykle aktualizacji przeznaczonych dla aplikacji. Zwykle było odwrotnie - Microsoft łatał głównie swoje aplikacje, w tym przede wszystkim Internet Explorera i MS Office, bo to one były najczęściej atakowane przez przestępców" - komentuje Storms.

Specjalista zwraca uwagę na jeszcze jeden ciekawy trend - najwięcej poprawek przeznaczonych jest dla starszych wersji produktów Microsoftu. "To kolejne potwierdzenie faktu, iż ich nowsze produkty są lepiej zabezpieczone. Wykorzystano w nich nowy kod, zaś podczas prac trzymano się zasad bezpiecznego tworzenia kodu SDL (Security Development Lifecycle). Zwróćcie uwagę, że dla Windows Server 2008 R2 - czyli najnowszego systemu z rodziny Windows - przeznaczone będzie najmniej poprawek" - tłumaczy Storms.

Z zapowiedzi Microsoftu wynika, użytkownicy Windows Server 2008 R2 będą musiali zainstalować 5 z 11 (czyli 45%) przeznaczonych dla systemów z rodziny Windows poprawek. Tak samo będzie z Windows 7. Użytkownicy ośmioletniego Windows XP muszą zainstalować 8 z 11 (73%) łat, zaś Windows 2000 - 9 (czyli 82%). "Każdy kolejny miesiąc dostarcza argumentów za tym, by zrezygnować z korzystania ze starych systemów i aplikacji" - komentuje Storms.

Z uwagi na dość ograniczone informacje na temat poprawek Andrew Storms nie był w stanie wytypować aktualizacji, które powinny zostać zainstalowane w pierwszej kolejności. "Interesująca wydaje się poprawka opisana w biuletynie nr 1 - choćby dlatego, że jest ona "krytyczna" w przypadku Windows XP i Windows 7, ale tylko "ważna" w Windows Vista. To dziwne - Vista i 7 oparte są na tym samym kodzie, więc spodziewałbym się raczej, że w obu przypadkach status poprawki będzie identyczny. A nie jest jest..." - mówi ekspert. Jego zdaniem, chodzi tu o jakiś problem, który w Viście jest częściowo przynajmniej ograniczany przez system UAC, czyli kontrolę konta użytkownika (w 7 UAC jest zdecydowanie mniej restrykcyjny i być może pozwala na pewne niebezpieczne działania, które w Viście są domyślnie blokowane).

Wiadomo za to, że Microsoft załata w lutym pewną naprawdę starą lukę w zabezpieczeniach - chodzi o błąd w kernelu wszystkich 32-bitowych wersji Okien, który jest znany od... 17 lat. Ale jest i zła wiadomość - w najbliższy wtorek nie pojawi się poprawka usuwająca z Internet Explorera najnowszy błąd, pozwalający na wykradanie danych (wykryto go przed kilkoma dniami).

Lutowy zestaw poprawek Microsoftu zostanie udostępniony w najbliższy wtorek, późnym popołudniem. Więcej informacji znaleźć można na stronie koncernu.

Oceń artykuł

średnio: 4.8 liczba ocen: 2

Komentarze (13)

~Kubus

08-02-2010 10:11

@phi: skoro Debian posiada takie wsparcie, to pozostaje mi posypać głowę popiołem. Mój poprzedni wpis był tylko komentarzem, bo post Mr. AGH-a był taki nieco "beztroski" (moje odczucie). Cóż: pozostaje zawsze sprawdzić możliwości, tak aby infrastruktura działała lepiej, a biznes był również zadowolony, ponieważ posiada profesjonalne wsparcie.

~Lolo

07-02-2010 17:38

Jako user domowego komputera jestem bardzo zadowolony z update''ów. Aktualizuje się Windows, aktualizuje się FF, aktualizuje się antywir, aktualizuje się firewall, aktualizuje się media player, aktualizuje się klient poczty, aktualizują się dodatki, pluginy, addonsy, aktualizuje się gra sieciowa, aktualizuje się skajp, aktualizuje się spybot itd.... A ja sobie siedzę, oglądam wyskakujące komunikaty i okienka i klikam: tak, nie, zgadzam się, pozwalam, pozwalam, teraz, później, restartuję program, restartuję komputer, ściągam, instaluję. Wreszcie mam konstruktywne zajęcie a nie tylko to niepotrzebne surfowanie.

~phi

06-02-2010 23:42

@Kubuś - tak przy okazji - KOMERCYJNE wsparcie do Debiana świadczy na przykład firma HP. A nie jest to jakiś pan Józio i spółka - ta firma ma bardzo dobrych inżynierów od open source. Z Debiana wywodzi się dystrybucja Ubuntu firmy Canonical, która również posiada komercyjne wsparcie techniczne. Bardzo dobrej jakości. Nie ma tego za darmo, ale za mniejsze pieniadze jest towar o wiele lepszej jakości, który się tak łatwo nie psuje.

~Precz

06-02-2010 22:33

Dzięki, że fanboje majkrosoftu czuwają. Inaczej popadł bym w straszliwego doła, że muszę używać takiego krapu. Dzięki nim już wiem, że jest naprawdę dobrze skoro jest tak źle ;p

~Kubuś

06-02-2010 22:24

Jeżeli to ma być biznes z prawdziwego zdarzenia, to niestety system niekomercyjny się nie nadaje. Osoby odpowiedzialne za biznes chcą narzędzi, za którymi idzie płatny (czytaj bardziej wiarygodny) serwis, wsparcie. I dlatego RH ma takie powodzenie w biznesie: RH żyje właśnie głównie ze wsparcia. Debian być może jest fajniejszy, niemniej nie idzie za nim owo wsparcie. Kwestia zabezpieczenia systemu do czasu publikacji, zainstalowania poprawki to już inny temat: można w końcu posiłkować się jakimś IDP. A cóż aplikacje może faktycznie wymagają jakiegoś przeglądau przetestowania. A może trzeba wymóc popwstanie środowiska testowego? Takie moje 0.02zł

~agh

06-02-2010 09:14

@aa "Tak tylko takie FF czy Opera to mają w dupie czy aplikacje po zainstalowaniu poprawek (...)" - popraw mnie, jeśli się mylę: MS jest znany z tego, że wydaje poprawki do poprawek, które coś zepsuły? "Administruje RedHat i co mnie wkurza ma maksymalnie w tym systemie to właśnie to ze wydaja poprawki jak popadnie" - pewnie, model "poprawka raz na miesiąc, a w międzyczasie martw się sam o bezpieczeństwo" jest znacznie lepszy, no nie? Przecież: 1. Nie musisz ich koniecznie instalować, jeśli się boisz, 2. Jeśli RedHat Ci nie odpowiada z taką polityką, przerzuć się na Debiana stable, tam po pierwsze dba się o stabilność, 3. A może wina leży po stronie źle napisanych aplikacji, a nie systemu? Nie pomyślałeś o tym?

~aa

05-02-2010 21:11

~Ajnsztajn Niestety nie mam takiego luksusu jak TY. To są systemy produkcyjne wystawione do Internetu. A w bajki ze samo zainstalowanie Linux gwarantuje bezpieczeństwo to już dawno nie wierzę. To z doświadczenia.

~Ajnsztajn

05-02-2010 20:23

@aa Ale przecież nikt nie zmusza Cię, abyś instalował te poprawki na bieżąco. Jeśli wolisz mieć niezabezpieczony system aż do danego dnia miesiąca, jak w MS to po prostu poczekaj z aktualizają do dowolnie wybranego dnia. Kłopot z tym, że w MS nie ma żadnego wyboru. A ja się niesamowicie cieszę z częstych poprawek - aktualizuję cały system raz dziennie i jakoś wszystko działa ;).

~aa

05-02-2010 19:42

~rusineck Tak tylko takie FF czy Opera to mają w dupie czy aplikacje po zainstalowaniu poprawek będą działały poprawnie czy nie. Bo oficjalnie nie wspierają żadnej aplikacji a niestety IE oficjalnie wspiera ich tysiące. Przetestowanie nawet małej liczby tych aplikacji zajmuje sporo czasu. Administruje RedHat i co mnie wkurza ma maksymalnie w tym systemie to właśnie to ze wydaja poprawki jak popadnie przez co aplikacje mają ciągle przestoje. A to z kolei wkurza biznes. Wydają nawet parę poprawek w tygodniu.

~Gość

05-02-2010 18:36

rusineck juz daj sobie spokoj z tymi farmazonami..inni wcale nie są tacy szybcy

~rusineck

05-02-2010 16:27

Zabawne jest to, że z łataniem IE się już nie spieszą. Regularne poprawki @q-ku, żartujesz chyba. Inni producenci łatają luki najszybciej jak się da, czasem nawet w kilkanaście godzin. Żeby załatać IE trzeba dni a czasem nawet miesięcy.

~Alter

05-02-2010 16:05

Błąd istniał od 17 lat, ale znany jest od paru miesięcy. Ale oczywiście dla panów redachtorów to mało znacząca różnica...

~q-ku

05-02-2010 15:01

i dobrze obsługa klienta, regularne poprawki - jestem za za to właśnie płacę że czuwają


Najnowsze

MAC, czyli ministerstwo reformowania rządzenia

Premier wspiera lojalnie w kryzysie najbliższego współpracownika, Michała Boniego, przyjmując na siebie atak oburzonych internautów podczas debaty o ACTA.

Nowe, unijne zamówienia publiczne

Komisja Europejska proponuje ważne zmiany prawa wspólnotowego w obszarze zamówień publicznych. Warto im się przyjrzeć bo to jeden z elementów nowej perspektywy finansowej UE. Warto zatem przyjrzeć się owej propozycji bliżej.

Bezpieczeństwo rządowych stron - analiza

Zespół zadaniowy ds. ochrony portali rządowych opublikował wytyczne. Trudno stwierdzić, że to najlepsze rekomendacje, jakie można było przy okazji zaistniałych ataków wypracować.

DEBATA: Kiedy walka polityczna w sieci przemienia się w cyberterroryzm?

Skuteczny atak cybernetyczny przyniesie opłakane skutki dla państwa i gospodarki. Boleśnie się o tym przekonaliśmy, gdy nie można było dostać się na strony internetowe najważniejszych instytucji w Polsce.

Czy MSW chce unieważnienia przetargu na pl.ID?

Rośnie ryzyko całkowitego unieważnienia przetargu na nowe dowody osobiste. Krajowa Izba Odwoławcza odrzuciła odwołanie firmy Sygnity, która nie zgadzała się na wydłużenie o trzy miesiące terminu składania ofert na dostawę blankietów nowych dowodów osobistych. Wydłużenie całego postępowania o trzy miesiące może spowodować skargi uczestniczących w nim firm, a w konsekwencji unieważnienie przetargu.

Garść rad dla roztropnego szefa IT

Trudne czasy w gospodarce to okres, kiedy szczególnego znaczenia nabiera hasło: Jak cię widza, tak cię piszą. Osłabienie rynku przekłada się na oszczędności w przedsiębiorstwie, a oszczędności najłatwiej szukać w działach, które, w opinii zarządu, nie są bezpośrednio związane z prowadzoną działalnością - czyli również w dziale IT.

Sprzeczne wizje e-dowodu

Koncepcja elektronicznego dowodu osobistego powstała w Polsce wiele lat temu. Starsze są koncepcje elektronicznego systemu świadczeń ochrony zdrowia. Mimo to, nadal są w trakcie budowy.

Rekomendacje


Serwisy IDG - Warunki obsługi - Kontakt - Redakcja - Regulamin - O nas - Polityka prywatności - Serwis zgodny z ASME
Reklama - Licencjonowanie treści
Computerworld Polska i Computerworld Polska online są znakami towarowymi IDG Poland SA.
© Copyright 2012 International Data Group Poland S.A. 04-204 Warszawa ul. Jordanowska 12 tel.(+4822)321-78-00 fax(+4822)321-78-88