کمیته رکن چهارم – به‌روزرسانی‌های وصله‌ی روز سه‌شنبه‌ی مایکروسافت برای ماه فوریه‌ی سال ۲۰۱۸ میلادی، ۵۰ آسیب‌پذیری را در ویندوز، آفیس و مرورگرهای وب این شرکت رفع می‌کند، اما به نظر نمی‌رسد که این فهرست شامل هیچ‌گونه آسیب‌پذیری روز-صفرم باشد.
۱۴ مورد از این حفره‌های امنیتی بحرانی ارزیابی شده‌اند، که از جمله‌ی آن‌ها آسیب‌پذیری افشاء اطلاعات در مایکروسافت اِج، خرابی حافظه در اوت‌لوک، آسیب‌پذیری اجرای کد از راه دور در مؤلفه‌ی StructuredQuery ویندوز، و چند مورد خرابی حافظه در موتورهای اسکریپتی استفاده شده در مایکروسافت اِج و اینترنت اکسپلورر است.
یک آسیب‌پذیری با شناسه‌ی CVE-۲۰۱۸-۰۷۷۱ قبل از این‌که مایکروسافت وصله‌ها را منتشر کند افشاء شد. این مسأله، دور زدن سیاست اصل واحد یا همان SOP است که به خاطر روش مدیریت درخواست‌های دریافت‌شده از منابع مختلف به وجود آمده است.
مایکروسافت گفت: «مهاجمی که با موفقیت از این آسیب‌پذیری بهره‌برداری کند می‌تواند مرورگر را مجبور به ارسال داده‌های بکند که در صورت عدم ارسال آن‌ها محدود خواهد شد». این شرکت می‌گوید بعید است این آسیب‌پذیری که مهم و بحرانی ارزیابی شده است، در حملات مورد بهره‌برداری قرار گرفته باشد.
۲ مورد از جالب‌ترین آسیب‌پذیری‌هایی که در ماه جاری وصله شد، آسیب‌پذیری‌های اوت‌لوک هستند که توسط یکی از پژوهشگران مایکروسافت به نام نیکولاس جولی کشف شدند. یکی از این آسیب‌پذیری‌ها با شناسه‌ی CVE-۲۰۱۸-۰۸۵۲ می‌تواند با رسیدن به هدف و باز کردن پرونده‌ای که به روش خاصی در یک نسخه‌ی آسیب‌دیده از اوت‌لوک نوشته شده، برای اجرای کد دلخواه در متن نشست یک کاربر مورد بهره‌برداری قرار گیرد.
یکی از پژوهشگران Zero Day Initiative) ZDI) به نام دوستین چایلدز (Dustin Childs) گفت: «آن‌چه که در مورد این اشکال ترسناک است این است که Preview Pane یک بردار حمله است، یعنی نمایش یک رایانامه در Preview Pane به سادگی می‌تواند امکان اجرای کد را فراهم سازد. کاربر نهایی که مورد هدف چنین حمله‌ای قرار می‌گیرد نیازی به باز کردن یا کلیک روی هر گونه محتوای موجود در رایانامه ندارد، فقط باید آن را در Preview Pane نمایش دهد. در صورتی که این اشکال به یک بهره‌برداری فعال تبدیل شود، سامانه‌های وصله نشده از این مسأله آسیب خواهند دید.»
آسیب‌پذیری دوم اوت‌لوک که توسط جولی کشف شد یک مسأله‌ی افزایش امتیاز (CVE-۲۰۱۸-۰۸۵۰) است که می‌تواند برای مجبور کردن اوت‌لوک برای بارگیری یک فروشگاه پیام محلی یا راه دور مورد استفاده قرار گیرد. با ارسال یک رایانامه‌ی خاص به یک کاربر اوت‌لوک می‌توان از این آسیب‌پذیری بهره‌برداری کرد.
چایلدز گفت: «این رایانامه باید به گونه‌ای طراحی شده باشد که اوت‌لوک را مجبور کند یک فروشگاه پیام را در SMB بارگیری کند. اوت‌لوک تلاش می‌کند تا پیام از پیش پیکربندی شده را در هنگام دریافت رایانامه باز کند. در واقع این امکان برای یک مهاجم وجود دارد که حتی با ارسال رایانامه، و بدون نمایش یا پیش‌نمایش از این مسأله بهره‌برداری کند.»
به‌روزرسانی‌های وصله‌ی روز سه‌شنبه‌ی مایکروسافت در مجموع ۳۴ آسیب‌پذیری مهم و ۲ آسیب‌پذیری با شدت متوسط را رفع می‌کند.
در اوایل ماه جاری، مایکروسافت مؤلفه‌های ادوبی فلش پلیر را با استفاده از محصولات خود به‌روزرسانی کرد تا ۲ آسیب‌پذیری را رفع کند که یکی از آن‌ها آسیب‌پذیری روز صفرم است و بر این باورند که توسط عاملان مخرب کره شمالی مورد بهره‌برداری قرار گرفته است. ادوبی روز سه‌شنبه به‌روزرسانی‌هایی برای Acrobat، Reader و محصولات Experience Manager منتشر کرد تا ۴۱ اشکال امنیتی را برطرف کند.
منبع : news.asis.io
