Декабрьский Microsoft Security Bulletin

[B][SIZE="3"]Microsoft Security Bulletin Summary for December 2009[/SIZE][/B]
[SIZE="1"]Published: December 08, 2009[/SIZE]
[url]http://www.microsoft.com/technet/security/bulletin/ms09-dec.mspx[/url]

Microsoft Security Bulletin MS09-069 - MS09-074


[B]Microsoft Windows:[/B] MS09-069 - MS09-071
[B]Microsoft Windows, Internet Explorer:[/B] MS09-072
[B]Microsoft Windows, Microsoft Office:[/B] MS09-073
[B]Microsoft Office:[/B] MS09-074



[i]Примечание: Для загрузки патчей используйте ссылку на статью бюллетеня, из которой выбирайте ссылку на загрузку применительно к вашей ОС или компоненту.[/i]

Microsoft Security Bulletin MS09-069
[B]Vulnerability in Local Security Authority Subsystem Service Could Allow Denial of Service[/B] (974392)
[url]http://www.microsoft.com/technet/security/Bulletin/MS09-069.mspx[/url]
[B]Уязвимость при обработке ISAKMP сообщений в службе LSASS в Microsoft Windows[/B]
[url]http://www.securitylab.ru/vulnerability/388565.php[/url]

[B]Rating: [color=#FF6600]Important[/color][/B]

[B]Описание:[/B]
Уязвимость позволяет удаленному пользователю произвести DoS атаку.

Уязвимость существует из-за ошибки при обработке ISAKMP сообщений, передаваемых через IPSec службе Local Security Authority Subsystem Service (LSASS). Удаленный аутентифицированный пользователь может с помощью специально сформированного ISAKMP сообщения заставить процесс LSASS.exe потребить большое количество системных ресурсов и вызвать отказ в обслуживании.

[B][color=#CC0000]Affected Software[/color]:[/B]
• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 2 and Windows XP Service Pack 3
• Windows XP Professional x64 Edition and Windows XP Professional x64 Edition Service Pack 2
• Windows Server 2003 Service Pack 1 and Windows Server 2003 Service Pack 2
• Windows Server 2003 x64 Edition and Windows Server 2003 x64 Edition Service Pack 2
• Windows Server 2003 with SP1 for Itanium-based Systems and Windows Server 2003 with SP2 for Itanium-based Systems


[B][color=#006600]Non-Affected Software[/color]:[/B]
• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2 *
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2 *
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2
• Windows 7 for 32-bit Systems
• Windows 7 for x64-based Systems
• Windows Server 2008 R2 for x64-based Systems
• Windows Server 2008 R2 for Itanium-based Systems

Microsoft Security Bulletin MS09-070
[B]Vulnerabilities in Active Directory Federation Services Could Allow Remote Code Execution[/B] (971726)
[url]http://www.microsoft.com/technet/security/bulletin/MS09-070.mspx[/url]
[B]Две уязвимости в Active Directory Federation Services в Microsoft Windows[/B]
[url]http://www.securitylab.ru/vulnerability/388567.php[/url]

[B]Rating: [color=#FF6600]Important[/color][/B]

[B]Описание:[/B]
Обнаруженные уязвимости позволяют удаленному пользователю произвести спуфинг атаку и скомпрометировать целевую систему.

1. Уязвимость существует из-за ошибки в Active Directory Federation Services, которая позволяет злоумышленнику выдать себя за аутентифицированного пользователя при аутентификации в Web приложении, поддерживающем ADFS SSO. Для успешной эксплуатации уязвимости злоумышленник должен иметь доступ к рабочей станции и Web браузеру пользователя.

2. Уязвимость существует из-за некорректной проверки подлинности заголовков запросов в Active Directory Federation Services при подключении аутентифицированного пользователя к Web серверу, поддерживающему ADFS. Удаленный аутентифицированный пользователь может с помощью специально сформированного HTTP запроса выполнить произвольный код на целевой системе.


[B][color=#CC0000]Affected Software[/color]:[/B]
• Windows Server 2003 Service Pack 2
• Windows Server 2003 x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2 *
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2 *


[B][color=#006600]Non-Affected Software[/color]:[/B]
• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 2 and Windows XP Service Pack 3
• Windows XP Professional x64 Edition and Windows XP Professional x64 Edition Service Pack 2
• Windows Server 2003 with SP1 for Itanium-based Systems and Windows Server 2003 with SP2 for Itanium-based Systems
• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2
• Windows 7 for 32-bit Systems
• Windows 7 for x64-based Systems
• Windows Server 2008 R2 for x64-based Systems
• Windows Server 2008 R2 for Itanium-based Systems

Microsoft Security Bulletin MS09-071
[B]Vulnerabilities in Internet Authentication Service Could Allow Remote Code Execution[/B] (974318)
[url]http://www.microsoft.com/technet/security/bulletin/MS09-071.mspx[/url]
[B]Выполнение произвольного кода в Internet Authentication Service в Microsoft Windows[/B]
[url]http://www.securitylab.ru/vulnerability/388571.php[/url]
[B]Обход аутентификации в Internet Authentication Service в Microsoft Windows[/B]
[url]http://www.securitylab.ru/vulnerability/388578.php[/url]

[B]Rating: [color=#CC0000]Critical[/color][/B]

[B]Описание:[/B]
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за ошибки в реализации Protected Extensible Authentication Protocol (PEAP) протокола в службе Internet Authentication Service (IAS). Удаленный пользователь может с помощью специально сформированного аутентификационного PEAP запроса к IAS серверу вызвать повреждение памяти и выполнить произвольный код на целевой системе.

Уязвимость позволяет удаленному пользователю обойти некоторые ограничения безопасности.

Уязвимость существует из-за ошибки при обработке аутентификационных MS-CHAP v2 запросов. Удаленный пользователь может с помощью специально сформированного аутентификационного MS-CHAP v2 запроса получить доступ к сетевым ресурсам с привилегиями определенного пользователя.

[B][color=#CC0000]Affected Software[/color]:[/B]
• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 2 and Windows XP Service Pack 3
• Windows XP Professional x64 Edition and Windows XP Professional x64 Edition Service Pack 2
• Windows Server 2003 Service Pack 1 and Windows Server 2003 Service Pack 2
• Windows Server 2003 x64 Edition and Windows Server 2003 x64 Edition Service Pack 2
• Windows Server 2003 with SP1 for Itanium-based Systems and Windows Server 2003 with SP2 for Itanium-based Systems
• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2 *
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2 *
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2

[B][color=#006600]Non-Affected Software[/color]:[/B]
• Windows 7 for 32-bit Systems
• Windows 7 for x64-based Systems
• Windows Server 2008 R2 for x64-based Systems
• Windows Server 2008 R2 for Itanium-based Systems

Microsoft Security Bulletin MS09-072
[B]Cumulative Security Update for Internet Explorer[/B] (976325)
[url]http://www.microsoft.com/technet/security/bulletin/ms09-072.mspx[/url]
[B]Выполнение произвольного кода в Microsoft Internet Explorer[/B]
[url]http://www.securitylab.ru/vulnerability/388011.php[/url]
[B]Множественные уязвимости в Microsoft Internet Explorer[/B]
[url]http://www.securitylab.ru/vulnerability/388596.php[/url]

[B]Rating: [color=#CC0000]Critical[/color][/B]

[B]Описание:[/B]
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за ошибки в Microsoft HTML Viewer (mshtml.dll) при обработке определенных CSS объектов в методе getElementsByTagName(). Удаленный пользователь может с помощью специально сформированного Web сайта выполнить произвольный код на целевой системе.

Обнаруженные уязвимости позволяют удаленному пользователю скомпрометировать целевую систему.

1. Уязвимость существует из-за того, что tdc.ocx ActiveX компонент использует уязвимую ATL функцию OleLoadFromStream() для обработки табулярных данных. Удаленный пользователь может с помощью специально сформированного Web сайта выполнить произвольный код на целевой системе. Подробное описание уязвимости:
[url]www.securitylab.ru/vulnerability/383038.php[/url] Уязвимость распространяется только на Internet Explorer 6.x

2. Уязвимость существует из-за неизвестной ошибки при обращении к объекту, который не был корректно инициализирован или был удален. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе. Уязвимость распространяется только на Internet Explorer 8.

3. Уязвимость существует из-за неизвестной ошибки при обращении к объекту, который не был корректно инициализирован или был удален. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе. Уязвимость распространяется на Internet Explorer 7 и 8.

4. Уязвимость существует из-за неизвестной ошибки при обращении к объекту, который не был корректно инициализирован или был удален. Удаленный пользователь может с помощью специально сформированного Web сайта вызвать повреждение памяти и выполнить произвольный код на целевой системе. Уязвимости подвержены все версии браузера.


[B][color=#CC0000]Affected Software[/color]:[/B]
• Microsoft Internet Explorer 5.01 Service Pack 4, Microsoft Internet Explorer 6 Service Pack 1[indent]• Microsoft Windows 2000 Service Pack 4[/indent]
• Microsoft Internet Explorer 6[indent]• Microsoft Windows XP Service Pack 2 and Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems and Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2[/indent]
• Windows Internet Explorer 7[indent]• Microsoft Windows XP Service Pack 2 and Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 with SP1 for Itanium-based Systems and Microsoft Windows Server 2003 with SP2 for Itanium-based Systems
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Windows Vista Service Pack 2
• Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems
• Windows Server 2008 for x64-based Systems
• Windows Server 2008 for Itanium-based Systems[/indent]
• Windows Internet Explorer 8[indent]• Microsoft Windows XP Service Pack 2 and Microsoft Windows XP Service Pack 3
• Microsoft Windows XP Professional x64 Edition and Microsoft Windows XP Professional x64 Edition Service Pack 2
• Microsoft Windows Server 2003 Service Pack 1 and Microsoft Windows Server 2003 Service Pack 2
• Microsoft Windows Server 2003 x64 Edition Service Pack 1 and Microsoft Windows Server 2003 x64 Edition Service Pack 2
• Windows Vista Service Pack 2
• Windows Vista x64 Edition Service Pack 2
• Windows 7 for 32-bit Systems
• Windows 7 for x64-based Systems
• Windows Server 2008 for 32-bit Systems
• Windows Server 2008 for x64-based Systems
• Windows Server 2008 R2 for x64-based Systems
• Windows Server 2008 R2 for Itanium-based Systems[/indent]

Microsoft Security Bulletin MS09-073
[B]Vulnerability in WordPad and Office Text Converters Could Allow Remote Code Execution[/B] (975539)
[url]http://www.microsoft.com/technet/security/bulletin/MS09-073.mspx[/url]
[B]Повреждение памяти в Microsoft WordPad и Office Text Converters[/B]
[url]http://www.securitylab.ru/vulnerability/388613.php[/url]



[B]Rating: [color=#FF6600]Important[/color][/B]

[B]Описание:[/B]
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за ошибки в Wordpad и текстовых Office конвертерах при обработке Word 97 документов. Удаленный пользователь может с помощью специально сформированного документа выполнить произвольный код на целевой системе.


[B][color=#CC0000]Affected Software[/color]:[/B]
• Windows Operating System and Components[indent]• Microsoft Windows 2000 Service Pack 4
• Microsoft Windows XP Service Pack 2 and Windows XP Service Pack 3
• Windows XP Professional x64 Edition and Windows XP Professional x64 Edition Service Pack 2
• Windows Server 2003 Service Pack 1 and Windows Server 2003 Service Pack 2
• Windows Server 2003 x64 Edition and Windows Server 2003 x64 Edition Service Pack 2
• Windows Server 2003 with SP1 for Itanium-based Systems and Windows Server 2003 with SP2 for Itanium-based Systems[/indent]• Microsoft Office[indent]• Microsoft Office XP Service Pack 3[indent]• Microsoft Office Word 2002 Service Pack 3[/indent]• Microsoft Office 2003 Service Pack 3[indent]• Microsoft Office Word 2003 Service Pack 3[/indent]• Microsoft Works 8.5
• Microsoft Office Converter Pack[/indent]


[B][color=#006600]Non-Affected Software[/color]:[/B]
• Windows Operating System and Components[indent]• Windows Vista, Windows Vista Service Pack 1, and Windows Vista Service Pack 2
• Windows Vista x64 Edition, Windows Vista x64 Edition Service Pack 1, and Windows Vista x64 Edition Service Pack 2
• Windows Server 2008 for 32-bit Systems and Windows Server 2008 for 32-bit Systems Service Pack 2
• Windows Server 2008 for x64-based Systems and Windows Server 2008 for x64-based Systems Service Pack 2
• Windows Server 2008 for Itanium-based Systems and Windows Server 2008 for Itanium-based Systems Service Pack 2
• Windows 7 for 32-bit Systems
• Windows 7 for x64-based Systems
• Windows Server 2008 R2 for x64-based Systems
• Windows Server 2008 R2 for Itanium-based Systems[/indent]• Office and Other Software[indent]• Microsoft Office Word 2007 Service Pack 1 and Microsoft Office Word 2007 Service Pack 2
• Microsoft Office Word Viewer 2003 Service Pack 3
• Microsoft Office Word Viewer
• Microsoft Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats Service Pack 1 and Microsoft Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats Service Pack 2
• Microsoft Office Compatibility Pack for Word, Excel, and PowerPoint 2007 File Formats Service Pack 1
• Microsoft Office 2004 for Mac
• Microsoft Office 2008 for Mac
• Open XML File Format Converter for Mac
• Microsoft Works 9

Microsoft Security Bulletin MS09-074
[B]Vulnerability in Microsoft Office Project Could Allow Remote Code Execution[/B] (967183)
[url]http://www.microsoft.com/technet/security/bulletin/ms09-074.mspx[/url]
[B]Выполнение произвольного кода в Microsoft Office Project[/B]
[url]http://www.securitylab.ru/vulnerability/388614.php[/url]

[B]Rating: [color=#CC0000]Critical[/color][/B]

[B]Описание:[/B]
Уязвимость позволяет удаленному пользователю скомпрометировать целевую систему.

Уязвимость существует из-за ошибки при проверке выделяемой памяти во время открытия Project файлов. Удаленный пользователь может с помощью специально сформированного Project файла вызвать повреждение памяти и выполнить произвольный код на целевой системе.


[B][color=#CC0000]Affected Software[/color]:[/B]
• Microsoft Project 2000 Service Release 1
• Microsoft Project 2002 Service Pack 1
• Microsoft Office Project 2003 Service Pack 3

[B][color=#006600]Non-Affected Software[/color]:[/B]
• Microsoft Project Server 2003 Service Pack 3
• Microsoft Office Project 2007 Service Pack 1
• Microsoft Office Project 2007 Service Pack 2
• Microsoft Project Portfolio Server 2007 Service Pack 1
• Microsoft Project Portfolio Server 2007 Service Pack 2
• Microsoft Project Server 2007 Service Pack 1
• Microsoft Project Server 2007 Service Pack 2