Июльский Microsoft Security Bulletin

[Shu_b]

Microsoft Security Bulletin Summary for July 2009
Published: July 14, 2009
http://www.microsoft.com/technet/security/bulletin/ms09-jul.mspx

Microsoft Security Bulletin MS09-028 - MS09-033

Microsoft Windows: MS09-028, MS09-029, MS09-032
Microsoft Office: MS09-030
Microsoft ISA Server: MS09-031
Virtual PC, Virtual Server: MS09-033

Примечание: Для загрузки патчей используйте ссылку на статью бюллетеня, из которой выбирайте ссылку на загрузку применительно к вашей ОС или компоненту.

[Shu_b]

Microsoft Security Bulletin MS09-028
Vulnerabilities in Microsoft DirectShow Could Allow Remote Code Execution (971633)
http://www.microsoft.com/technet/security/bulletin/MS09-028.mspx
Выполнение произвольного кода в Microsoft DirectX
http://www.securitylab.ru/vulnerability/380517.php

Rating: Critical

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки в QuickTime Movie Parser Filter в Microsoft DirectShow платформе (quartz.dll) при обработке QuickTime файлов. Удаленный пользователь может с помощью специально сформированного QuickTime файла выполнить произвольный код на целевой системе.

Примечание: уязвимость активно эксплуатируется в настоящее время.

2. Уязвимость существует из-за ошибки при обработке некоторых значений в Microsoft DirectShow во время обновления указателя. Удаленный пользователь может с помощью специально сформированного QuickTime файла выполнить произвольный код на целевой системе.

3. Уязвимость существует из-за ошибки при обработке определенных полей в QuickTime файлах. Удаленный пользователь может с помощью специально сформированного QuickTime файла выполнить произвольный код на целевой системе.


Affected Software:
• DirectX 7.0
• Microsoft Windows 2000 Service Pack 4
• DirectX 8.1
• Microsoft Windows 2000 Service Pack 4
• DirectX 9.0
• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 2 and Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems and Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2

Non-Affected Software:
• Windows Vista and Windows Vista Service Pack 1
• Windows Vista x64 Edition and Windows Vista x64 Edition Service Pack 1
• Windows Server 2008 for 32-bit Systems*
• Windows Server 2008 for x64-based Systems*
• Windows Server 2008 for Itanium-based Systems

[Shu_b]

Microsoft Security Bulletin MS09-029
Vulnerabilities in the Embedded OpenType Font Engine Could Allow Remote Code Execution (961371)
http://www.microsoft.com/technet/security/bulletin/MS09-029.mspx
Переполнение буфера в Embedded OpenType Font Engine в Microsoft Windows
http://www.securitylab.ru/vulnerability/382505.php

Rating: Critical

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки при обработке встроенных шрифтов в Microsoft Windows Embedded OpenType (EOT) технологии. Удаленный пользователь может с помощью специально сформированных имен таблиц в файлах и данных, содержащих встроенные шрифты, вызвать переполнение динамической памяти и выполнить произвольный код на целевой системе.

2. Целочисленное переполнение обнаружено в Microsoft Windows Embedded OpenType (EOT) технологии при обработке имен таблиц в шрифтах. Удаленный пользователь может с помощью специально сформированного файла выполнить произвольный код на целевой системе.

Affected Software:
• Microsoft Windows 2000 Server Service Pack 4
• Microsoft Windows XP Service Pack 2 and Windows XP Service Pack 3
• Windows XP Professional x64 Edition and Windows XP Professional x64 Edition Service Pack 2
• Windows Server 2003 Service Pack 1 and Windows Server 2003 Service Pack 2
• Windows Server 2003 x64 Edition and Windows Server 2003 x64 Edition Service Pack 2
• Windows Server 2003 with SP1 for Itanium-based Systems and Windows Server 2003 with SP2 for Itanium-based Systems
• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2 *
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2 *
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2

*Windows Server 2008 server core installation affected. For supported editions of Windows Server 2008, this update applies, with the same severity rating, whether or not Windows Server 2008 was installed using the Server Core installation option. For more information on this installation option, see Server Core (http://msdn.microsoft.com/en-us/library/ms723891(VS.85).aspx). Note that the Server Core installation option does not apply to certain editions of Windows Server 2008; see Compare Server Core Installation Options (http://www.microsoft.com/windowsserver2008/en/us/compare-core-installation.aspx).

[Shu_b]

Microsoft Security Bulletin MS09-030
Vulnerability in Microsoft Office Publisher Could Allow Remote Code Execution (969516)
http://www.microsoft.com/technet/security/bulletin/ms09-030.mspx
Выполнение произвольного кода в Microsoft Office Publisher
http://www.securitylab.ru/vulnerability/382506.php

Rating: Important

Описание:
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за ошибки при подсчете данных объекта указателя при обработке файлов, созданных в старых версиях Publisher. Удаленный пользователь может с помощью специально сформированного Publisher файла вызвать разыменование указателя и выполнить произвольный код на целевой системе.

Affected Software:
• Microsoft Office Suites and Components
• 2007 Microsoft Office System Service Pack 1
• Microsoft Office Publisher 2007 Service Pack 1
Non-Affected Software:
• Microsoft Office Suites and Components
• Microsoft Office 2000 Service Pack 3
• Microsoft Office Publisher 2000 Service Pack 3• Microsoft Office XP Service Pack 3
• Microsoft Office Publisher 2002 Service Pack 3• Microsoft Office 2003 Service Pack 3
• Microsoft Office Publisher 2003 Service Pack 3• 2007 Microsoft Office System Service Pack 2
• Microsoft Office Publisher 2007 Service Pack 2

[Shu_b]

Microsoft Security Bulletin MS09-031
Vulnerability in Microsoft ISA Server 2006 Could Cause Elevation of Privilege (970953)
http://www.microsoft.com/technet/security/bulletin/ms09-031.mspx
Обход ограничений безопасности в Microsoft ISA Server 2006
http://www.securitylab.ru/vulnerability/382526.php

Rating: Important

Описание:
Уязвимость позволяет удаленному пользователю обойти некоторые ограничения безопасности.

Уязвимость существует из-за ошибки при использовании Radius OTP (One Time Password) аутентификации. Удаленный неавторизованный пользователь, знающий имя учетной записи администратора, может получить полный контроль над целевой системой.

Affected Software:
• Microsoft Internet Security and Acceleration Server 2006
• Microsoft Internet Security and Acceleration Server 2006 Supportability Update
• Microsoft Internet Security and Acceleration Server 2006 Service Pack 1

Non-Affected Software:
• Microsoft Forefront Threat Management Gateway, Medium Business Edition
• Microsoft Internet Security and Acceleration Server 2000 Enterprise Edition Service Pack 2
• Microsoft Internet Security and Acceleration Server 2000 Standard Edition Service Pack 2
• Microsoft Internet Security and Acceleration Server 2004 Enterprise Edition Service Pack 3
• Microsoft Internet Security and Acceleration Server 2004 Standard Edition Service Pack 3

[Shu_b]

Microsoft Security Bulletin MS09-032
Cumulative Security Update of ActiveX Kill Bits (973346)
http://www.microsoft.com/technet/security/bulletin/ms09-032.mspx
Выполнение произвольного кода в Microsoft DirectShow MPEG2TuneRequest ActiveX
http://www.securitylab.ru/vulnerability/382197.php

Rating: Critical

Описание:
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за ошибки проверки границ данных при обработке потокового видео в BDATuner.MPEG2TuneRequest.1 ActiveX компоненте (msVidCtl.dll) в Microsoft DirectShow. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать переполнение стека и выполнить произвольный код на целевой системе.


Affected Software:
• Microsoft Windows XP Service Pack 2 and Windows XP Service Pack 3
• Windows XP Professional x64 Edition and Windows XP Professional x64 Edition Service Pack 2
• Windows Server 2003 Service Pack 1 and Windows Server 2003 Service Pack 2
• Windows Server 2003 x64 Edition and Windows Server 2003 x64 Edition Service Pack 2
• Windows Server 2003 with SP1 for Itanium-based Systems and Windows Server 2003 with SP2 for Itanium-based Systems


**Severity ratings do not apply to this update because the vulnerability discussed in this bulletin does not affect this software. However, as a defense-in-depth measure to protect against any possible new vectors identified in the future, Microsoft recommends that customers of this software apply this security update.
• Microsoft Windows 2000 Server Service Pack 4
• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2 *
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2 *
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2

*Windows Server 2008 server core installation affected. For supported editions of Windows Server 2008, this update applies, with the same severity rating, whether or not Windows Server 2008 was installed using the Server Core installation option. For more information on this installation option, see Server Core (http://msdn.microsoft.com/en-us/library/ms723891(VS.85).aspx). Note that the Server Core installation option does not apply to certain editions of Windows Server 2008; see Compare Server Core Installation Options (http://www.microsoft.com/windowsserver2008/en/us/compare-core-installation.aspx).

[Shu_b]

Microsoft Security Bulletin MS09-033
Vulnerability in Virtual PC and Virtual Server Could Allow Elevation of Privilege (969856)
http://www.microsoft.com/technet/security/bulletin/MS09-033.mspx
Повышение привилегий в Microsoft Virtual PC и Virtual Server
http://www.securitylab.ru/vulnerability/382528.php

Rating: Important

Описание:
Уязвимость позволяет локальному пользователю повысить свои привилегии на системе.

Уязвимость существует из-за ошибки при обработке уровней привилегий в Microsoft Virtual PC и Microsoft Virtual Server при выполнении определенных инструкций в Virtual Machine Monitor. Локальный авторизованный пользователь гостевой ОС может выполнить произвольный код в пределах гостевой ОС с повышенными привилегиями.

Affected Software:
• Microsoft Virtual PC 2004 Service Pack 1
• Microsoft Virtual PC 2007
• Microsoft Virtual PC 2007 Service Pack 1
• Microsoft Virtual PC 2007 x64 Edition
• Microsoft Virtual PC 2007 x64 Edition Service Pack 1
• Microsoft Virtual Server 2005 R2 Service Pack 1
• Microsoft Virtual Server 2005 R2 x64 Edition Service Pack 1

Non-Affected Software:
• Microsoft Virtual PC for Mac 7.1

[Shu_b]

Microsoft’s July 2009 Out- of- Band Security Bulletin

Microsoft Security Bulletin Summary for July 2009:
http://www.microsoft.com/technet/security/bulletin/ms09-jul.mspx
Microsoft Security Advisory (973882):
http://www.microsoft.com/technet/security/advisory/973882.mspx


Microsoft Security Bulletin MS09-034, MS09-035

Microsoft Windows, Internet Explorer: MS09-034
Microsoft Visual Studio: MS09-035

Примечание: Для загрузки патчей используйте ссылку на статью бюллетеня, из которой выбирайте ссылку на загрузку применительно к вашей ОС или компоненту.

[Shu_b]

Microsoft Security Bulletin MS09-034
Cumulative Security Update for Internet Explorer (972260)
http://www.microsoft.com/technet/security/bulletin/ms09-034.mspx
Множественные уязвимости в Internet Explorer
http://www.securitylab.ru/vulnerability/383032.php

Rating: Critical

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки при обращении к удаленному объекту. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе.

2. Уязвимость существует из-за ошибки при обработке операций с таблицей в некоторых ситуациях. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе.

3. Уязвимость существует из-за ошибки при обращении к удаленному объекту. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе.

Примечание: исправление также внедряет механизмы зашиты для устранения известных векторов атаки на Internet Explorer и некоторые ActiveX компоненты, которые были созданы с определенными версиями библиотеки ATL (Active Template Library).

Affected Software:
• Microsoft Internet Explorer 5.01 Service Pack 4, Microsoft Internet Explorer 6 Service Pack 1
• Microsoft Windows 2000 Service Pack 4
• Microsoft Internet Explorer 6
• Microsoft Windows XP Service Pack 2 and Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems and Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Windows Internet Explorer 7
• Microsoft Windows XP Service Pack 2 and Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems and Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Windows Vista Service Pack 2
• Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems
• Windows Server 2008 for x64-based Systems
• Windows Server 2008 for Itanium-based Systems
• Windows Internet Explorer 8
• Microsoft Windows XP Service Pack 2 and Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Windows Vista Service Pack 2
• Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems
• Windows Server 2008 for x64-based Systems

Non-Affected Software:
• Windows Internet Explorer 8
• Windows 7 for 32-bit Systems
• Windows 7 for x64-based Systems
• Windows 7 for Itanium-based Systems

[Shu_b]

Microsoft Security Bulletin MS09-035
Vulnerabilities in Visual Studio Active Template Library Could Allow Remote Code Execution (969706)
http://www.microsoft.com/technet/security/bulletin/ms09-035.mspx
Множественные уязвимости в Microsoft Visual Studio Active Template Library
http://www.securitylab.ru/vulnerability/383038.php

Rating: Moderate

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю обойти некоторые ограничения безопасности, получить доступ к важным данным и скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки в заголовках ATL при обработке постоянных потоков, которая может привести к вызову функции VariantClear() для переменной типа Variant, которая была некорректно инициализирована. Удаленный пользователь может, например, с помощью специально сформированного Web сайта передать злонамеренный поток, вызвать повреждение памяти и выполнить произвольный код на целевой системе.

2. Уязвимость существует из-за ошибки в заголовках ATL при обработке инициализации объекта из потоков данных. Удаленный пользователь может обойти некоторые ограничения безопасности, например деактивацию ActiveX компонентов в Internet Explorer, если компонент использует небезопасным образом метод OleLoadFromStream().

3. Уязвимость существует из-за ошибки в ATL, которая может привести к чтению строки, не содержащей терминирующие нулевые байты. Удаленный пользователь может получить доступ к содержимому памяти за пределами строки.


Affected Software:
• Microsoft Visual Studio .NET 2003 Service Pack 1
• Microsoft Visual Studio 2005 Service Pack 1
• Microsoft Visual Studio 2005 Service Pack 1 64-bit Hosted Visual C++ Tools
• Microsoft Visual Studio 2008
• Microsoft Visual Studio 2008 Service Pack 1
• Microsoft Visual C++ 2005 Service Pack 1 Redistributable Package
• Microsoft Visual C++ 2008 Redistributable Package
• Microsoft Visual C++ 2008 Service Pack 1 Redistributable Package

[Павлик]

Здравствуйте. Мне сегодня в центр обновления виндоус пришёл пакет обновления
для системы безопасности распространяемого пакета Microsoft Visual C++ 2005 с пакетом обновлений 1(SP1) (KB973923) по ссылки http://www.microsoft.com/technet/sec.../ms09-035.mspx
подобный пакет числиться с другим КВ- (КВ971090)
В связи с этим стоит ли его устанавливать?

[Kuzz]

Павлик, если Вы внимательно посмотрите бюлетень ms09-035 (http://www.microsoft.com/technet/security/bulletin/ms09-035.mspx) то увидите, что номер 969706 присвоен всему бюлетню, а KB971090 - конкретно для "Microsoft Visual Studio 2005 Service Pack 1"

[Kitaez]

Скажите пожалуйста - а если виндовс нелицензионный,а простой,то можно такие обновления скачивать и устанавливать?
Например эти которые здесь указаны?
А то вот подруга скачала что-то с microsoft, а потом какая-то проверка на подлинность нужна стала или какая-то активация чтоли.

[pig]

А куда вы денетесь? Не поставите заплатки - будете в "Помогите!" регулярно бегать.

[Kitaez]

А куда вы денетесь? Не поставите заплатки - будете в "Помогите!" регулярно бегать.
Я хочу поставить заплатки,только боюсь что потом компьютер перезагружу и появится такое окошко что нужно проверить подлинность виндовс или там активировать его.

[Kuzz]

Kitaez, критические обновления ставятся без проверки лицензионности.

[pig]

Всякие там WPA обычно через автоматическое обновление приезжают. Активацию начинает просить сервиспак. А то, что в бюллютенях безопасности, в этом пока замечено не было.

[Kitaez]

Kuzz,pig
А скажите пожалуйста - вот эти обновления которые здесь указаны
MS09-034 (972260)
MS09-035 (969706)
можно устанавливать? Не будет проверки лицензионности?
Там на microsoft не написано что они критические.
Какие-то ключевые чтоли.

[pig]

MSxx-xxx - можно устанавливать все.

[Kitaez]

pig спасибо
Обновление для Internet Explorer установил.

А вот обновлений для Microsoft Visual C+++ на русском языке нет.
На китайском есть а на русском нету.
Значит на русский компьютер нельзя пока установить?

[pig]

А у вас вообще Visual C++ стоит? Судя по вопросам, вы не разработчик ПО.

[Kitaez]

А у вас вообще Visual C++ стоит?
Microsoft Visual C++2005 Redistributable
Microsoft Visual C++2008 Redistributable 9.0.21022
Microsoft Visual C++2008 Redistributable 9.0.30729.17


Судя по вопросам, вы не разработчик ПО.
Вы правы.
Но для работы некоторых программ надо такое.

[pig]

Попробуйте английскую.

[antanta]

pig спасибо
На китайском есть а на русском нету.

MS запустила новую программу, частью которой является отслеживание персональных данных пользователей. Вопреки домыслам противников программных продуктов с закрытым исходным кодом, эта программа не предусматривает использование полученных данных для извлечения дополнительной прибыли (например, использование "точечных" рассылок). Более того, персональные данные не доступны (по крайней мере, в теории) оператору. Тем не менее, система помогает пользовотелю избежать распространенной ошибки в части определения версии собственной операционной системы. Дело в том, что большинство пользователей англоязычной версии MS Windows с установленным MUI не подозревают, что имеют "английскую" версию Windows. Соответственно, они пытаются установить пакеты обновлений для "локализованной" версии, например - русской, что иногда приводило к фатальтным сбоям. Эта хорощо знаемая проблема теперь будет решена благодаря прогрессивным технологиям от Microsoft.
В данном случае сработала как раз система nikname-direct, то есть, в соответствии с Вашим никнеймом на virusinfo, Вам автоматически предложен именно китайский апдейт, что должно было предотвратить нежелательные последствия от установки неправильного пакета обновлений.
ЗЫ: Да купите уже винду...