Microsoft выкатила новые патчи и рассказала, как исключить подмену DNS

Microsoft выкатила новые патчи и рассказала, как исключить подмену DNS

Microsoft выкатила новые патчи и рассказала, как исключить подмену DNS

Корпорация Microsoft выпустила декабрьский набор патчей, совокупно закрыв 58 уязвимостей; девять из них признаны критическими, 48 — существенными. Баги нулевого дня на сей раз в списке не числятся, использования какой-либо из новых лазеек в реальных атаках не замечено.

Обновления для систем безопасности получили 11 программных продуктов, в том числе ОС Windows, десктопный и мобильный браузеры Edge, программы из набора Microsoft Office, Exchange Server и Visual Studio.

Почти все проблемы, оцененные Microsoft как критические, относятся к классу «удаленное исполнение кода» (RCE). Они обнаружены в пяти продуктах:

Эти баги рекомендуется пропатчить на местах в первую очередь. Эксперты также советуют обратить внимание на пару уязвимостей, оцененных как существенные:

  • CVE-2020-17096 — RCE в файловой системе NTFS; при локальном эксплойте позволяет повысить привилегии, при удаленном доступе по SMBv2 — выполнить любую команду;
  • CVE-2020-17099 — обход блокировки экрана; при наличии физического доступа к ПК позволяет выполнить произвольный код в контексте активной сессии, заблокированной пользователем.

Кроме бюллетеней, посвященных закрытым брешам, Microsoft выпустила руководство по защите от эксплойта CVE-2020-25705, грозящего отравлением кеша DNS. Эту уязвимость недавно обнаружила команда университетских исследователей из Китая и США. Новая дыра позволяет обойти стандартную защиту от подмены DNS (рандомизацию UDP-порта источника запроса) посредством атаки по стороннему каналу. Авторы исследования нарекли свою находку SAD DNS (Side-channel AttackeD DNS).

Возможность вернуть на повестку дня давнюю и уже, как казалось, решенную проблему возникла из-за ненадежного способа обработки входящего ICMP-трафика средствами ядра Linux. Атака SAD DNS позволяет за считанные секунды получить номера всех открытых портов DNS-клиента и затем угадать ID транзакции по методу, предложенному ИБ-экспертом Дэном Каминским еще в 2008 году.

По словам Microsoft, уязвимость CVE-2020-25705 затрагивает также Windows DNS Resolver — кеширующий сервер DNS, через который происходит обращение к локальному DNS-серверу, когда браузер пытается найти сайт по доменному имени, введенному в адресную строку. В случае успешной отработки эксплойта автор атаки сможет подменить DNS-пакет (результат преобразования домена в IP-адрес), который при последующих обращениях будет отдаваться из кеша.

Для противодействия эксплойту Microsoft советует внести изменения в системный реестр, задав предельный размер UDP-пакетов как 1221 байт. При превышении этого порога DNS-резолвер автоматически перейдет на протокол TCP.

Между тем тестирование, проведенное исследователями, показало, что проблема SAD DNS актуальна не только для Linux и Windows Server, но также для macOS и FreeBSD. Соответствующий патч для Linux уже интегрирован в сборку 5.10 (пока тестируется, выпуск стабильной версии ядра ожидается 20 декабря) и портирован на многие из более ранних сборок. Сроки выпуска заплатки для серверных Windows пока не определены, планы Apple и разработчиков FreeBSD на настоящий момент не известны.

BI.ZONE Mail Security научили подозревать запароленные архивы и спам-клонов

Компания BI.ZONE выпустила Mail Security 3.0 с новыми механизмами обнаружения почтовых угроз и функциями для администраторов. Система стала внимательнее относиться к защищённым паролем архивам, проверять подлинность отправителей и находить массовые рассылки, в которых мошенники слегка меняют текст ради обхода фильтров.

Если содержимое запароленного архива, включая вложенный, невозможно распаковать, система теперь может начислить письму дополнительные баллы риска.

Сам архив при этом не объявляется вредоносным автоматически, но перестаёт пользоваться дипломатической неприкосновенностью только потому, что его содержимое закрыто на замок.

Другой новый метод сравнивает тексты сообщений и выявляет серии почти одинаковых писем. Так BI.ZONE рассчитывает обнаруживать спам-кампании, где злоумышленники переставляют несколько слов и надеются, что фильтр ничего не заметит.

В правилах доставки теперь можно учитывать результаты SPF- и DKIM-проверок. Это помогает отличать легитимных отправителей от тех, кто лишь надел знакомое имя и пришёл за учётными данными. По статистике BI.ZONE, в первом полугодии 2026 года на фишинг пришлось 90% нелегитимного почтового трафика.

Защиту административных аккаунтов усилили механизмом против автоматического перебора паролей. После заданного количества неудачных попыток входа пользователю придётся пройти CAPTCHA.

Администраторам разрешили массово включать, отключать и удалять правила, скачивать быстрые правила группой и выполнять операции сразу над несколькими письмами. В обновлённом журнале сведения о сообщении выводятся в боковой панели, а новый раздел «События» предупреждает о важных изменениях и скором окончании лицензии.

Журнал действий пользователей можно передавать во внешние системы мониторинга и SIEM по Syslog.

RSS: Новости на портале Anti-Malware.ru