В мае компания Microsoft выпустила обновления безопасности, закрывающие 67 уязвимостей, относящиеся к продуктам Microsoft Windows, Microsoft Edge, Internet Explorer, Office, Office Web Apps, SharePoint Server, Exchange, .NET/.NET Core, Chakra Core, SDK for Azure IoT и Adobe Flash.
Сводная информация по количеству и типу уязвимостей в соответствующих продуктах приведена на графике ниже.
Более подробная информация по уязвимостям с указанием количества, типа, способа обнародования, наличия рабочего эксплоита и рейтинга CVSS представлена в таблице ниже.
Информация об уровне критичности, потенциальном ущербе и соответствующих обновлениях, закрывающих данные уязвимости, представлена в таблице ниже.
| Product Family | Maximum Severity | Maximum Impact | Associated KB Articles and/or Support Webpages |
| Windows 10 and Windows Server 2016 (including Microsoft Edge) | Critical | Remote Code Execution | Windows 10 v1803: 4103721; Windows 10 v1709: 4103727; Windows 10 v1703: 4103731; Windows 10 v1607: 4103723; Windows 10: 4103716; and Windows Server 2016: 4103723. |
| Windows 8.1 and Windows Server 2012 R2 | Critical | Remote Code Execution | Windows 8.1 and Windows Server 2012 R2 Monthly Rollup: 4103725.
Windows 8.1 and Windows Server 2012 R2 Security Only: 4103715. |
| Windows Server 2012 | Critical | Remote Code Execution | Windows Server 2012 Monthly Rollup: 4103730.
Windows Server 2012 Security Only: 4103726. |
| Windows RT 8.1 | Critical | Remote Code Execution | Windows RT 8.1: 4103725.
Note: updates for Windows RT 8.1 are only available via Windows Update. |
| Windows 7 and Windows Server 2008 R2 | Critical | Remote Code Execution | Windows 7 and Windows Server 2008 R2 Monthly Rollup: 4103718.
Windows 7 and Windows Server 2008 R2 Security Only: 4103712. |
| Windows Server 2008 | Critical | Remote Code Execution | Updates for Windows Server 2008 are not offered in a cumulative update or rollup. The following articles reference a version of Windows Server 2008: 4094079, 4101477, 4130944, 4131188, and 4134651. |
| Internet Explorer | Critical | Remote Code Execution | Internet Explorer 9 IE Cumulative: 4103768; Internet Explorer 10 Monthly Rollup: 4103730; Internet Explorer 10 IE Cumulative: 4103768; Internet Explorer 11 Monthly Rollup: 4103718 and 4103725; Internet Explorer 11 IE Cumulative: 4103768; Internet Explorer 11 Security Update: 4103716, 4103721, 4103723, 4103727, and 4103731. |
| Microsoft Office-related software | Important | Remote Code Execution | The number of KB articles associated with Microsoft Office for each monthly security update release varies depending on the number of CVEs and the number of affected components. This month there are more than 20 KB Articles related to Office updates – too many to list here for the purpose of a summary. Review the content in the Security Update Guide for article details. |
| Microsoft SharePoint-related software | Important | Remote Code Execution | Microsoft SharePoint-related software: 3114889, 4018381, 4018390, 4018398, 4022130, and 4022145. |
| Microsoft Exchange Server | Critical | Remote Code Execution | Microsoft Exchange Server-related software: 4092041 and 4091243. |
| Microsoft .NET software | Important | Security Feature Bypass | The number of support articles associated with a .NET Framework security update release will vary depending on the number of CVEs and the number of affected components. This month there are more than 20 support articles related to .NET Framework updates – too many to list here for the purpose of a summary. .NET Core is a general-purpose development platform maintained by Microsoft and the .NET community on GitHub. |
| SDK for Azure IoT | Important | Information Disclosure | The Microsoft Azure IoT device SDKs contain code that facilitates building devices and applications that connect to and are managed by Azure IoT Hub services. GitHub maintains a repository of all Azure IoT SDKs. How to get support for Azure IoT SDK provides additional information. |
| ChakraCore | Critical | Remote Code Execution | ChakraCore is the core part of Chakra, the high-performance JavaScript engine that powers Microsoft Edge and Windows applications written in HTML/CSS/JS. More information is available here: https://github.com/Microsoft/ChakraCore/wiki. |
| Adobe Flash Player | Critical | Remote Code Execution | Adobe Flash Player KB Article: 4103729
Adobe Flash Player Advisory: ADV180008. |
Security Advisory
Выпущены следующие рекомендательные документы:
Security Advisory 4092731: Update to Azure Guest OS Machine Key Generation Algorithm
Security Advisory ADV180008: May 2018 Adobe Flash Security Update
Обновлены следующие рекомендательные документы:
Security Advisory ADV180002 - Guidance to mitigate speculative execution side-channel vulnerabilities
Security Advisory ADV170017: Microsoft Office Defense in Depth Update
Сводная таблица с обновлениями безопасности
Для Вашего удобства предлагаю загрузить сводную таблицу в формате Microsoft Excel, которая содержит всю информацию о мартовском выпуске бюллетеней безопасности Microsoft с возможностью фильтрации и поиска по всевозможным параметрам.
Справочник обновлений безопасности Microsoft
Самую актуальную информацию об уязвимостях и обновлениях безопасности вы можете найти на нашем портале Security Update Guide.
Вы также можете автоматизировать получение и настроить представление об уязвимостях и обновлениях безопасности под собственные нужны, используя наш RESTful API. Ответы на часто задаваемые вопросы по работе с порталом находятся здесь. Если Вы не нашли ответ на свой вопрос, обратитесь к нашему форуму.
Plan – Test – Update – Repeat
Не откладывайте установку обновлений безопасности в Вашей инфраструктуре! Именно от своевременной установки обновлений зависит безопасность Ваших информационных активов и Вашего бизнеса.
Артём Синицын
руководитель программ информационной безопасности
Microsoft