Patch Selasa: Keamanan Fokus sebagai Microsoft, Oracle Patch Bugs

Ini adalah ibu dari semua hari patch untuk perusahaan IT, dengan Microsoft dan Oracle merilis pembaruan perangkat lunak penting hari Selasa.

Microsoft menendang hal-hal dari Selasa pagi dengan 11 pembaruan keamanan, termasuk perbaikan untuk bug keamanan penting di Windows Active Directory, Internet Explorer, Excel dan Server Integrasi Host Microsoft, yang mengintegrasikan komputer Windows dengan mainframe IBM.

Pakar keamanan mengatakan bahwa pembaruan Internet Explorer, yang memperbaiki enam bug di browser, adalah yang harus diperhatikan. Itu karena ini sangat penting untuk pengguna Internet Explorer 6 yang menjalankan Windows XP - konfigurasi yang sangat umum di perusahaan.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Tetapi pelanggan yang menjalankan Windows Active Direktori pada Windows 2000 mesin yang lebih tua harus memindahkan pembaruan Active Directory MS08-060 ke bagian atas antrian patch mereka, kata Don Leatham, seorang direktur solusi dan strategi di Lumension Security. Karena server Active Directory dapat digunakan untuk mengatur izin pada mesin lain dan mengelola pengguna di jaringan, mengambil alih mesin ini "akan menjadi Cawan Suci bagi seseorang yang mencoba masuk ke perusahaan dan benar-benar mengacaukannya," katanya.

Biasanya, server Active Directory diblokir di firewall, yang berarti bahwa seorang penyerang mungkin harus berada di jaringan internal untuk melakukan serangan, kata Eric Schultze, chief technology officer dengan Shavlik Technologies. Tetapi bug "berarti setiap pengguna internal yang tidak puas dapat mengambil kendali penuh atas domain Windows 2000 dan pengontrol domain," katanya melalui pesan instan.

Mengurangi kekhawatiran ini, adalah fakta bahwa Microsoft tidak memiliki laporan bahwa ini kerentanan telah dieksploitasi dalam suatu serangan. Meskipun ada kemungkinan bahwa seorang penyerang dapat merusak mesin Windows 2000 dengan mengeksploitasi bug ini, "membuat kode mengeksploitasi berfungsi untuk mengeksploitasi eksekusi kode jauh sulit," kata Microsoft dalam catatan di situs Web-nya.

Secara total, 20 bug keamanan diperbaiki dalam 11 pembaruan Microsoft. Ada juga enam pembaruan yang kurang kritis, diberi peringkat "penting" oleh Microsoft, untuk berbagai komponen Windows, dan "moderat" tambalan yang memperbaiki bug yang dapat memungkinkan penyerang mengintai informasi dari pengguna Office.

Pembaruan keamanan Oracle, diharapkan jam 1 siang Waktu Pasifik, akan mencakup perbaikan untuk 36 bug dalam berbagai produk Oracle, termasuk Database andalan perusahaan, Server Aplikasi, E-Business Suite, dan server WebLogic dan alat pengembangan. Perbaikan bug juga direncanakan untuk produk JD Edwards dan PeopleSoft perusahaan.

Tidak biasa bagi Microsoft dan Oracle untuk mendorong patch pada hari yang sama. Pembaruan keamanan Microsoft keluar pada hari Selasa kedua setiap bulan, yang dikenal sebagai Patch Selasa di industri. Tapi patch Oracle adalah urusan kuartalan, disampaikan pada Selasa terdekat pertengahan bulan. Biasanya, yang menempatkan patch Oracle pada hari Selasa ketiga setiap bulannya, tetapi bulan ini, tanggal rilis Microsoft dan Oracle bertemu.

Pembaruan Microsoft hari Selasa datang dengan sedikit lebih banyak informasi untuk pelanggan perusahaan juga. Mereka termasuk bagian baru yang disebut "Indeks Eksploitasi," yang dirancang untuk memudahkan pengguna Windows untuk mengetahui bug mana yang paling mungkin dimanfaatkan oleh peretas.

Microsoft kini telah memberi peringkat semua pembaruan keamanannya dengan deskripsi berikut: "Kemungkinan Eksploitasi Kode Konsisten," "Kode Eksploitasi Tidak Konsisten yang Mungkin" atau "Kode Eksploitasi Berfungsi Tidak Mungkin."

Perusahaan mengatakan bahwa kode eksploitasi kemungkinan untuk bug di Internet Explorer kritis, Microsoft Host Integration Server, dan pembaruan Excel. Salah satu bug Internet Explorer, yang bisa membuat penyerang mendapatkan hak istimewa yang tinggi pada mesin Windows, telah diungkapkan secara terbuka, tetapi tidak dianggap telah digunakan dalam serangan dunia nyata, kata Microsoft.

Pertama lainnya: Microsoft memberi akses awal kepada para mitra keamanan tertentu ke pembaruannya bulan ini sehingga mereka dapat menggulirkan deteksi serangan ke perangkat lunak mereka saat patch dirilis pada hari Selasa.