Microsoft lanzó 50 actualizaciones esta semana para abordar las vulnerabilidades en los ecosistemas de Windows y Office. La buena noticia es que no hay actualizaciones de Adobe o Exchange Server este mes. La mala noticia es que hay correcciones para seis exploits de día cero, incluida una actualización crítica del Componente principal de representación web (MSHTML) para Windows. Hemos agregado las actualizaciones de Windows de este mes a nuestro programa "Parchear ahora", mientras que las actualizaciones de Microsoft Office y la Plataforma de desarrollo pueden implementarse bajo sus regímenes de lanzamiento estándar. Las actualizaciones también incluyen cambios en Microsoft Hyper-V, bibliotecas criptográficas y Windows DCOM, todos los cuales requieren pruebas antes de la implementación.
คุณสามารถค้นหาข้อมูลสรุปนี้ได้ในอินโฟกราฟิกของเรา
กรณีทดสอบที่สำคัญ
ไม่มีรายงานการเปลี่ยนแปลงที่มีความเสี่ยงสูงต่อแพลตฟอร์ม Windows ในเดือนนี้ สำหรับรอบโปรแกรมแก้ไขนี้ เราได้แบ่งคู่มือการทดสอบของเราออกเป็นสองส่วน: การเปลี่ยนแปลงส่วนประกอบ Microsoft OLE และ DCOM เป็นสิ่งที่ท้าทายทางเทคนิคมากที่สุด และต้องการผู้เชี่ยวชาญทางธุรกิจมากที่สุดในการตรวจแก้จุดบกพร่องและนำไปใช้ บริการ DCOM ไม่ใช่เรื่องง่ายที่จะสร้างและบำรุงรักษาได้ยาก ด้วยเหตุนี้ พวกเขาจึงไม่ใช่ตัวเลือกแรกสำหรับบริษัทส่วนใหญ่ที่จะเติบโตภายในองค์กร หากมีเซิร์ฟเวอร์ DCOM (หรือบริการ) ภายในกลุ่ม IT ของคุณ นั่นหมายความว่าจะต้องมีเซิร์ฟเวอร์นั้น และธุรกิจหลักบางส่วนจะขึ้นอยู่กับเซิร์ฟเวอร์ดังกล่าว เพื่อจัดการความเสี่ยงของการอัปเดตในเดือนมิถุนายนนี้ ฉันขอแนะนำให้คุณเตรียมรายการแอปพลิเคชันของคุณที่มีส่วนประกอบ DCOM ให้พร้อม มีสองรุ่น (ก่อนและหลังการอัปเดต) ที่พร้อมสำหรับการเปรียบเทียบแบบเคียงข้างกัน และมีเวลาอีกมากในการทดสอบและอัปเดตโค้ดเบสของคุณตามต้องการ
ปัญหาที่ทราบ
ทุกเดือน Microsoft จะรวมรายการปัญหาของระบบปฏิบัติการและแพลตฟอร์มที่ทราบซึ่งรวมอยู่ในรอบการอัปเดตนี้ ต่อไปนี้คือปัญหาสำคัญบางประการเกี่ยวกับเวอร์ชันล่าสุดจาก Microsoft ได้แก่:
- เช่นเดียวกับเดือนที่แล้ว ใบรับรองระบบและผู้ใช้อาจสูญหายได้เมื่ออัปเกรดอุปกรณ์จาก Windows 10 เวอร์ชัน 1809 หรือใหม่กว่าเป็น Windows 10 เวอร์ชันที่ใหม่กว่า Microsoft ไม่ได้เผยแพร่คำแนะนำเพิ่มเติมเกี่ยวกับการอัปเกรดที่ใช้ร่วมกันเป็นเวอร์ชันที่ใหม่กว่าของ Windows 10
- มีปัญหากับ Japanese Input Method Editor (IME) ที่สร้างข้อความ Furigana ที่ไม่ถูกต้อง ปัญหาเหล่านี้มักเกิดขึ้นกับการอัปเดตของ Microsoft IME ค่อนข้างซับซ้อนและเป็นปัญหาสำหรับ Microsoft มาหลายปีแล้ว คาดว่าจะมีการอัปเดตสำหรับฉบับอักขระภาษาญี่ปุ่นนี้ในปลายปีนี้
- ในปัญหาที่เกี่ยวข้อง หลังจากติดตั้ง KB4493509 อุปกรณ์ที่ติดตั้งชุดภาษาเอเชียบางชุดอาจเห็นข้อผิดพลาด "0x800f0982 - PSFX_E_MATCHING_COMPONENT_NOT_FOUND" เพื่อแก้ไขปัญหานี้ คุณจะต้องถอนการติดตั้งแล้วติดตั้งชุดภาษาของคุณใหม่
มีรายงานหลายฉบับเกี่ยวกับระบบ ESU ที่ล้มเหลวในการอัปเดต Windows ในเดือนที่ผ่านมา หากคุณใช้ระบบเก่า คุณจะต้องซื้อคีย์ ESU เหนือสิ่งอื่นใด จะต้องเปิดใช้งาน (สำหรับบางขั้นตอนที่สำคัญขาดหายไป) คุณสามารถเรียนรู้เพิ่มเติมเกี่ยวกับวิธีเปิดใช้งานรหัสอัปเกรด ESU ของคุณทางออนไลน์ คุณยังสามารถดูสรุปปัญหาที่ทราบของ Microsoft สำหรับรุ่นนี้ได้ในหน้าเดียว
การแก้ไขที่สำคัญ
ณ ตอนนี้ สำหรับรอบเดือนมิถุนายนนี้ มีการอัปเดตที่สำคัญสองรายการเมื่อเทียบกับการอัปเดตก่อนหน้า:
- CVE-2020-0835 – นี่คือการอัปเดตสำหรับฟังก์ชันป้องกันมัลแวร์ของ Windows Defender ใน Windows 10 Windows Defender ได้รับการอัปเดตทุกเดือน และโดยทั่วไปจะสร้างรายการ CVE ใหม่ในแต่ละครั้ง ดังนั้นการอัปเดตรายการ Defender CVE จึงไม่ปกติ (แทนที่จะสร้างรายการ CVE ใหม่ในแต่ละเดือน) การอัปเดตนี้ (หวังว่า) จะอ้างอิงถึงเอกสารที่เกี่ยวข้อง ไม่ต้องดำเนินการใดๆ เพิ่มเติม
- CVE-2021-28455: โปรแกรมแก้ไขด่วนนี้อ้างถึงการอัปเดตเอกสารอื่นสำหรับฐานข้อมูล Microsoft Red Jet การอัปเดตนี้ (ขออภัย) เพิ่ม Microsoft Access 2013 และ 2016 ลงในรายการที่ได้รับผลกระทบ หากคุณใช้ฐานข้อมูล Jet "Red" (ตรวจสอบมิดเดิลแวร์ของคุณ) คุณจะต้องทดสอบและอัปเดตระบบของคุณ
ตามหมายเหตุข้างเคียงเกี่ยวกับการอัปเดต Windows Defender เนื่องจากทุกสิ่งที่เกิดขึ้นในเดือนนี้ (การหาประโยชน์สาธารณะหกครั้ง!) ฉันขอแนะนำอย่างยิ่งให้ตรวจสอบให้แน่ใจว่า Defender เป็นข้อมูลล่าสุด Microsoft ได้เผยแพร่เอกสารเพิ่มเติมเกี่ยวกับวิธีการตรวจสอบและบังคับใช้การปฏิบัติตามข้อกำหนดของ Windows Defender ทำไมไม่ทำตอนนี้ ได้ฟรีและ Defender ก็ค่อนข้างดี
การบรรเทาและการแก้ปัญหา
จนถึงตอนนี้ ดูเหมือนว่า Microsoft จะยังไม่เปิดตัวการบรรเทาหรือวิธีแก้ไขปัญหาใดๆ สำหรับการเปิดตัวในเดือนมิถุนายนนี้ ในแต่ละเดือน เราจะแบ่งวงจรการอัปเดตออกเป็นตระกูลผลิตภัณฑ์ (ตามที่ Microsoft กำหนด) ด้วยการจัดกลุ่มพื้นฐานดังต่อไปนี้:
- เบราว์เซอร์ (Internet Explorer และ Edge);
- Microsoft Windows (ทั้งเดสก์ท็อปและเซิร์ฟเวอร์);
- ไมโครซอฟต์ออฟฟิศ;
- ไมโครซอฟต์ เอ็กซ์เชนจ์;
- แพลตฟอร์มการพัฒนาของ Microsoft (ASP.NET Core, .NET Core และ Chakra Core);
- Adobe (เกษียณอายุ ???)
เบราว์เซอร์
ดูเหมือนว่าเราจะกลับไปใช้การอัปเดตเบราว์เซอร์ขั้นต่ำตามปกติจาก Microsoft เนื่องจากเรามีการอัปเดตสำหรับโปรเจ็กต์ Microsoft Chromium (CVE-2021-33741) เพียงรายการเดียวเท่านั้น Microsoft ถือว่าการอัปเดตเบราว์เซอร์นี้มีความสำคัญเนื่องจากอาจทำให้เกิดปัญหาด้านความปลอดภัยของสิทธิ์ในการยกระดับเท่านั้นและต้องมีการโต้ตอบกับผู้ใช้ แทนที่จะใช้ Microsoft Security Portal สำหรับข้อมูลที่ดีขึ้นเกี่ยวกับการอัปเดตเบราว์เซอร์เหล่านี้ ฉันพบว่าหน้าบันทึกย่อประจำรุ่นของ Microsoft Chromium เป็นแหล่งเอกสารประกอบของโปรแกรมแก้ไขที่ดีกว่า ด้วยลักษณะการติดตั้ง Chrome บนเดสก์ท็อป Windows เราจึงคาดว่าจะได้รับผลกระทบเพียงเล็กน้อยจากการอัปเดต โปรดเพิ่มการอัปเดตเบราว์เซอร์นี้ลงในกำหนดการเผยแพร่มาตรฐานของคุณ
10 Microsoft Windows
ในเดือนนี้ Microsoft ได้เผยแพร่การอัปเดต 27 รายการสำหรับระบบนิเวศของ Windows ซึ่งสามรายการได้รับการจัดอันดับว่าวิกฤต และส่วนที่เหลือได้รับการจัดอันดับว่าสำคัญ นี่เป็นตัวเลขที่ค่อนข้างน้อยเมื่อเทียบกับเดือนก่อนหน้า อย่างไรก็ตาม (และนี่เป็นเรื่องใหญ่มาก) ฉันค่อนข้างแน่ใจว่าเราไม่เคยเห็นช่องโหว่จำนวนมากขนาดนี้ถูกโจมตีหรือเปิดเผยต่อสาธารณะ ในเดือนนี้ มีการยืนยันว่าดำเนินการแล้ว 2021 รายการ ได้แก่ CVE-31955-2021, CVE-31956-2021, CVE-33739-2021, CVE-33742-2021, CVE-31199-2021 และ CVE-31201-2021 ในการเพิ่มตัวเลขของเดือนนี้ มีการเปิดเผยสองประเด็นสู่สาธารณะ ได้แก่ CVE-33739-2021 และ CVE-31968-2021 เป็นจำนวนมากโดยเฉพาะอย่างยิ่งสำหรับหนึ่งเดือน การแก้ไขที่ฉันกังวลที่สุดคือ CVE-33742-32 ถือว่ามีความสำคัญเนื่องจากอาจนำไปสู่การใช้รหัสโดยอำเภอใจบนระบบเป้าหมายและส่งผลกระทบต่อองค์ประกอบหลักของ Windows (MSHTML) คอมโพเนนต์การเรนเดอร์เว็บนี้เป็นเป้าหมายของผู้โจมตีบ่อยครั้ง (และเป็นที่ต้องการ) หลังจากการเปิดตัว Internet Explorer (IE) ปัญหาด้านความปลอดภัยเกือบทั้งหมด (จำนวนมาก) และการแก้ไขที่เกี่ยวข้องซึ่งส่งผลต่อ IE นั้นเกี่ยวข้องกับวิธีที่คอมโพเนนต์ MSHTML โต้ตอบกับระบบย่อยของ Windows (WinXNUMX) หรือแย่กว่านั้นก็คืออ็อบเจ็กต์สคริปต์ Microsoft การโจมตีคอมโพเนนต์นี้อาจนำไปสู่การเข้าถึงเชิงลึกไปยังระบบที่ถูกบุกรุกและแก้ไขจุดบกพร่องได้ยาก แม้ว่าเราจะไม่ได้เปิดเผยช่องโหว่ทั้งหมดหรือยืนยันต่อสาธารณะในเดือนนี้ ฉันยังคงเพิ่มการอัปเดต Windows นี้ในกำหนดการเผยแพร่ "Patch Now"
Microsoft Office
คล้ายกับเดือนที่แล้ว Microsoft ออก 11 อัปเดตหลักและอัปเดตสำคัญ 2021 รายการสำหรับรอบการเปิดตัวนี้ อีกครั้ง เราเห็นการอัปเดต Microsoft SharePoint เป็นจุดสนใจหลัก ด้วยแพตช์ที่สำคัญ CVE-31963-8 เมื่อเทียบกับข่าวที่เกี่ยวข้องกับการอัปเดต Windows ในเดือนนี้ การแก้ไข Office เหล่านี้ค่อนข้างซับซ้อนในการหาประโยชน์ และไม่ทำให้เวกเตอร์ที่มีช่องโหว่สูง เช่น บานหน้าต่างแสดงตัวอย่างของ Outlook ถูกโจมตี มีการอัปเดตข้อมูลจำนวนมากสำหรับการแก้ไขเหล่านี้ในช่วงสองสามวันที่ผ่านมา และดูเหมือนว่าอาจมีปัญหากับการอัปเดตแพ็คเกจ SharePoint Server; Microsoft โพสต์ข้อผิดพลาดต่อไปนี้: "DataFormWebPart อาจมีปัญหาเมื่อเข้าถึง URL ภายนอก และสร้างแท็กเหตุการณ์ '5004210scdc' ในบันทึก SharePoint Unified Logging System (ULS)" คุณสามารถอ่านเพิ่มเติมเกี่ยวกับปัญหานี้ด้วย KB XNUMX วางแผนที่จะรีสตาร์ทเซิร์ฟเวอร์ SharePoint ของคุณและเพิ่มการอัปเดต Office เหล่านี้ไปยังกำหนดการเผยแพร่มาตรฐานของคุณ
แลกเปลี่ยนไมโครซอฟท์
ไม่มีการปรับปรุง Microsoft Exchange สำหรับรอบนี้ นี่เป็นการบรรเทาที่น่ายินดีจากหลายเดือนที่ผ่านมาเมื่อการอัปเดตที่สำคัญจำเป็นต้องมีการแก้ไขด่วนที่มีผลกระทบทั่วทั้งบริษัท
แพลตฟอร์มการพัฒนาของ Microsoft
เป็นเดือนที่ง่ายสำหรับการอัปเดตแพลตฟอร์มการพัฒนาของ Microsoft (.NET และ Visual Studio) โดยมีเพียงสองการอัปเดตที่ถือว่าสำคัญ:
- CVE-2021-31938 - การโจมตีที่ซับซ้อนและยากต่อการนำที่ต้องใช้การเข้าถึงในเครื่องและการโต้ตอบกับผู้ใช้เมื่อใช้ส่วนขยายเครื่องมือ Kubernetes
- CVE-2021-31957 – ช่องโหว่ ASP.NET นี้มีความร้ายแรงกว่าเล็กน้อย (ส่งผลกระทบต่อเซิร์ฟเวอร์ แทนที่จะเป็นส่วนขยายเครื่องมือ) ที่กล่าวว่ายังคงเป็นการโจมตีที่ซับซ้อนซึ่งได้รับการแก้ไขโดย Microsoft อย่างสมบูรณ์
เพิ่มการอัปเดต Visual Studio ลงในกำหนดการเปิดตัวนักพัฒนามาตรฐานของคุณ ฉันจะเพิ่มการอัปเดต ASP.NET ลงในกำหนดการเผยแพร่ตามลำดับความสำคัญเนื่องจากการเปิดรับอินเทอร์เน็ตที่เพิ่มขึ้น
<p>Copyright © 2021 IDG Communications, Inc.</p>