Microsoft Patch Tuesday: Kritisk uppdatering för IE

Idag var Microsofts slutliga patch på tisdagen 2009. Microsoft släppte totalt sex nya säkerhetsbulletiner, den mest brådskande som påverkar en nolldagarsfel i Internet Explorer, för vilken exploateringskoden redan existerar.

Om det inte finns några brådskande säkerhetsproblem eller exploater som cirkulerar i naturen för att tvinga en uppdatering utan band, är det totala antalet säkerhetsbulletiner för 2009 74 - en minskning med 5 procent från de 78 säkerhetsbulletinerna som släpptes 2008.

Hantera MS09-072 Första

[Läs mer: Våra bästa Windows 10-tricks, tips och tweaks]

Experter är enhälliga att säkerhetsbulletinen MS09-072, som innehåller den kumulativa säkerhetsuppdateringen för Internet Explorer, är överlägset den mest brådskande patchen som släpptes av Microsoft idag.

Andrew Storms, chef för säkerhetsoperationer för nCircle, sa i ett email "Topping dagens nyheter från Microsoft är rätten till en kritisk nolldagars bugg i Internet Explorer. Sårbarheten blev ett övre säkerhetsproblem för användarna när exploaterande kod blev offentligt tillgänglig. Som ett erkännande av problemets kritiska karaktär gjorde Microsoft fixet en högsta prioritet och levererade den inom cirka två veckor. "

En annan nCircle-säkerhetsexpert, senior säkerhetsingenjör Tyler Reguly, kom överens om att" Nummer ett på allas träfflista idag borde vara MS09-072, IE-korrigeringsfilen, eftersom detta inkluderar en korrigeringsfil för den aktuella IE 0-dagars sårbarheten. Patching IE är alltid avgörande, men med tanke på det offentliga utnyttjandet bör det patchas så snabbt som möjligt.

Jag pratade med Amol Sarwate, chef för Qualys Vulnerabilities Research Lab, som sammanfattade det. "MS09-072 är definitivt det mest brådskande. Sårbarheten publicerades för tre veckor sedan. Attackers har haft tre veckor att arbeta med proof of concept och utveckla ett fungerande utnyttjande. Om du bara kan göra en patch, gör du den. "

Reguly sade att bortom MS09 -072 resten av dagens säkerhetsbulletiner är typ av en slumpmässig mash-up av korrigeringar. De involverar en stor del av alfabetet och ett antal akronymer, som påverkar LSASS, ADFS och IAS för att börja med.

I det stora systemet är det dock inget väldigt brådskande när du lappar Internet Explorer. Regelbundet rekommenderar att organisationer tar sig tid att korrekt testa de återstående patcharna innan de distribueras.

Fel på Internet Explorer

Du kanske inte har märkt, men "Kumulativ uppdatering för Internet Explorer" är en permanent monteringsanvisning på månadslistan för säkerhetsbulletiner från Microsoft, och så långt jag kan minnas är det alltid klassificerat som kritiskt. Eftersom fler applikationer och tjänster körs direkt från molnet blir webbläsaren ännu mer en säkerhetshackelhälsa.

Jag pratade med Qualys chefstekniker Wolfgang Kandek som noterade att en betydande andel av Qualys kunder fortfarande litar på Internet Explorer 6. Han föreslog att de flesta av de svagheter som står inför kunde elimineras genom att bara anta Internet Explorer 8.

nCircle's Storms "påpekar emellertid att" Microsofts säkra kodutvecklingsmetoder kommer att komma att granskas igen eftersom dagens IE uppdateringen innehåller korrigeringar för två tidigare icke-offentliga operationer som bara påverkar IE8, den nyaste webbläsaren från Microsoft. "

Storms" utarbetade "Det finns inget sätt för Microsoft att undvika spekulationer om att dessa fel skulle ha hittats under mjukvaruutvecklingen och kvalitetssäkringscykel, men verkligheten är att det här skulle hända. Varje produkt har buggar och fler funktioner betyder större attackytor. "

Dra inte din self Down

Kandek känner att Microsoft är starkt inriktad på Windows 7 och vill hålla ögonen - och utvecklare - på framtiden, men att den massiva basen av Windows XP-installationer inte kan ignoreras. Så mycket som Microsoft kanske vill gå bort från att stödja det gamla operativsystemet, kommer Windows XP fortfarande att vara kvar ett tag.

Det är värt att notera att Windows 7 inte har påverkats direkt av någon av de 12 säkerhetsbulletinerna som har släppts sedan den slog i gatorna. Windows 7 påverkas perifert av de Internet Explorer-problem som behandlas i MS09-072, och det finns en pågående undersökning av vad som orsakar den mystiska svarta skärmen av döden, men inga bekräftade Windows 7-brister ännu.

Övergripande, Internet Explorer 6 är som schweizisk ost jämfört med IE8 från ett säkerhetsperspektiv. Det är också en mardröm för webbadministratörer och användare som försöker göra saker som att visa webbsidor. Den senaste Microsoft Security Intelligence-rapporten visade att Windows XP är 75 procent mer sannolikt att äventyras än Windows 7.

Så svagt som de två produkterna jämförs med deras modernare ekvivalenter, ställer många organisationer fortfarande på dem. Dessa organisationer behöver ta en titt på Windows 7 och Internet Explorer 8 och de potentiella besparingarna när det gäller support.

Använda Windows XP och Internet Explorer 6 och sedan klaga på säkerheten hos Microsoft-produkter är att köra din bil runt att dra en båtankare och sedan klagar på att du får dålig bensinstation.

Tony Bradley tweets som @PCSecurityNews, och kan kontaktas på hans Facebook-sida.