Microsoft rusar Explorer 8 patch release

Bara 11 dagar efter att ha utgivit en rådgivning har Microsoft släppt en korrigeringsfil i Internet Explorer 8 som bedeviled US Department of Labor tidigare denna månad.

Microsofts snabba release av denna patch " är ett enastående exempel på Microsofts svar på säkerhetsgemenskapen och deras användare, "skrev Andrew Storms, chef för säkerhetssäkerheten för säkerhetsprogramvarutillhandahållaren Tripwire, i ett email-meddelande.

Denna IE8-säkerhetsbulletin (MS13-038) är en av 10 som Microsoft släppte på tisdag som en del av sin "Patch Tuesday" -utgåva av buggfixar och säkerhetsbulletiner som företaget rutinmässigt utfärdar den andra tisdagen varje månad.

[Vidare läsning: Hur man tar bort malwar e från din Windows-dator]

Microsoft markerade MS13-038 som kritisk och företaget, tillsammans med andra säkerhetsföretag, rekommenderar de som fortfarande kör IE8 för att direkt kunna tillämpa korrigeringen. Användare av en förändrad arbetsavdelningens webbsida använde angripare denna sårbarhet i ett försök att installera skadlig kod på vilken som helst besökares maskin som kör IE8. Microsoft utfärdade en tillfällig åtgärd för denna sårbarhet förra veckan.

Den andra kritiska bulletin, MS13-037, påverkar också Internet Explorer. Den här uppdateringen löser 11 problem som skulle ha gjort det enkelt att injicera skadlig kod i webbläsaren från en speciellt utformad webbsida, så att användaren kan ta kontroll över en dator. Uppdateringen täcker PWN2Own-sårbarheten, uppgraderad tidigare i år.

De som kör Windows Server 2012 bör titta direkt på MS MS13-039. Den här uppdateringen åtgärdar en sårbarhet i Microsoft Web IIS (Internet Information Services) som kan användas i en Denial of Service-attack (DoS) genom användning av ett HTTP-paket. Eftersom det skulle vara relativt enkelt att tillverka en attack som använder denna sårbarhet, bör organisationer tillämpa den här uppdateringen så snart som möjligt, eftersom exploater som baseras på denna sårbarhet kan börja visas på så lite som några veckor, enligt Tripwire.

Ross Barrett, chef för säkerhetsingenjör vid säkerhetsföretaget Rapid7, skrev i ett uttalande att "medan DoS-attacker generellt betraktas som andra (eller tredje) nivå vad gäller risk, kan detta potentiellt vara störande för en organisation, eftersom många fjärrtjänster och Active Directory-integreringar är beroende av http.sys, "vilket är det nätverksdelsystem som används av IIS."

En "framgångsrik exploatering av denna bugg kan få allvarliga konsekvenser för offentliga webbservrar utan någon form av inline [intrångsskyddssystem] framför dem. I huvudsak kan varje användare starta en enkel attack och servern kommer i huvudsak att vara offline, "konstaterade Storms. Han noterade också att en kopia av Microsoft Server 2012 - inte bara de som fungerar som webbservrar - kan köra IIS, till exempel en server för Microsoft Exchange eller SharePoint.

De sju kvarstående bulletinerna - ingen kritiska men alla anses viktiga adresser buggar i Microsofts Lync, Publisher, Word, Visio, Windows Essentials,. Net och Windows-kärnan.