Крупное обновление МойОфис: 1300 изменений, улучшений и новых функций

Крупное обновление МойОфис: 1300 изменений, улучшений и новых функций

Крупное обновление МойОфис: 1300 изменений, улучшений и новых функций

МойОфис добавил работу с электронной подписью документов и надстроек в своих продуктах. Это позволяет обеспечить документам юридическую значимость, а также определить их целостность и авторство.

Теперь в «МойОфис Стандартный 2» пользователи могут подписывать или просматривать электронные документы, подписанные встроенной невидимой (XADES, для форматов OOXML и ODF) или отсоединенной подписью (CADES). При открытии подписанного документа редактор уведомит пользователя о наличии электронной подписи, отобразит на боковой панели её статус, а также укажет автора, подписавшего документ.

При необходимости, электронная подпись документа может быть откреплена и сохранена в отдельном одноименном SIG-файле. Для работы с электронной подписью документов требуется установка криптопровайдера «КриптоПро CSP» на компьютерах пользователей и наличие сертификатов электронной подписи.

Средства автоматизации, реализуемые через надстройки, теперь тоже могут быть валидированы с помощью электронной подписи. Новая функция позволяет определить принадлежность надстройки по сертификату.

Одновременно с обновлением настольных редакторов, компания усовершенствовала и корпоративную почту Mailion: стало возможно искать данные не только по атрибутам, но и по содержимому вложений. Функция облегчает администраторам и ИБ-специалистам задачи массового поиска по заданным критериям, которые требуются для сбора нужной информации при расследовании инцидентов информационной безопасности. Результаты поиска могут быть выгружены в файл формата json, который будет содержать данные по отправителю, теме и ID письма. Найденные нежелательные письма могут быть оперативно удалены у всех получателей с помощью всего одной команды.

Также, в рамках обновления в Mailion была улучшена работа с корпоративными каталогами. Теперь в Microsoft Active Directory можно использовать учетные записи с различающимися логинами и адресами электронной почты. А также, была подтверждена совместимость со службой каталогов FreeIPA.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Akamai раскрыла опасную дыру в Windows Server 2025 до выхода патча

Специалисты Akamai устроили шум в сообществе ИБ: они опубликовали полное техническое описание и PoC-эксплойт для уязвимости под кодовым названием BadSuccessor. Брешь способна привести к повышению привилегий в Windows Server 2025.

Суть в том, что с её помощью злоумышленник может получить полный контроль над любым пользователем в Active Directory, даже не будучи админом.

Исследователь Akamai Юваль Гордон сообщил, что Microsoft подтвердила баг, но присвоила ему «умеренную» степень опасности и отложила выпуск патча на неопределённое время. Akamai с этим категорически не согласна. По мнению Гордона, уязвимость серьёзнее, чем кажется.

BadSuccessor связана с новым типом аккаунтов в Server 2025 — delegated Managed Service Accounts (dMSA). Они должны были заменить устаревшие сервисные учётки, но получилось не очень: новая учётка может «наследовать» полномочия старой, и контроллер домена это спокойно принимает за чистую монету.

Гордон показал, как обычный пользователь с правами Create-Child в нужной OU может создать dMSA, который фактически будет обладать привилегиями другого пользователя. Без изменения групп, без записи в чувствительные объекты — просто два изменения атрибутов, и готово.

Почему это важно?

По данным Akamai, в 91% проверенных сред хотя бы один «неадмин» уже имеет права Create-Child в каком-нибудь OU — а этого вполне достаточно для атаки. При этом Windows Server 2025 по умолчанию включает поддержку dMSA, так что риски появляются сразу, как только вы добавляете новый контроллер в домен.

Akamai предупредила Microsoft о баге ещё 1 апреля. Ответ был: «да, уязвимость есть, но серьёзной мы её не считаем, спешить с патчем не будем». Это и стало последней каплей: в блоге компании появился полный разбор, примеры кода, рекомендации по логированию и скрипты для поиска уязвимых объектов.

Реакция сообщества — спорная

Публикация до выхода патча снова разожгла споры о правилах ответственного раскрытия. Одни исследователи критикуют Akamai за то, что они «слили» всё публично. Другие считают, что Microsoft слишком часто затягивает с устранением действительно опасных уязвимостей и по-другому с ней не получается.

Akamai в свою очередь говорит: BadSuccessor открывает совершенно новый, ранее неизвестный путь к компрометации AD-домена, и это нельзя игнорировать.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru