Четыре нуля

Грег Ламберт, участник Computerworld |

Грег Ламберт оценивает риски для существующих приложений и сред в рамках ежемесячного цикла «Вторник обновлений».

В обновлении Patch Tuesday в этом месяце Microsoft устранила 130 уязвимостей безопасности, опубликовала две рекомендации и включила четыре основные версии CVE. Нам также предстоит управлять четырьмя нулевыми днями для Windows (CVE-2023-32046, CVE-2023-32049, CVE-2023-36874 и CVE-2023-36884), что переводит платформу Windows в график «исправления сейчас».

В этом месяце будет проще сосредоточиться на тестировании Microsoft Office и Windows, поскольку у нас нет обновлений Adobe, Exchange или браузера. Обязательно внимательно ознакомьтесь с выпуском Microsoft Storm 0978, поскольку он содержит конкретные и практические рекомендации по устранению серьезной уязвимости HTML в Microsoft Office (CVE-2022-38023).

Команда Readiness создала эту полезную инфографику, чтобы обозначить риски, связанные с каждым из обновлений.

Microsoft каждый месяц перечисляет известные проблемы, связанные с операционной системой и платформами, включенными в последний цикл обновлений.

Microsoft опубликовала две основные версии:

Microsoft опубликовала следующие меры по устранению уязвимостей для этого выпуска:

Каждый месяц команда готовности предоставляет подробные и практические рекомендации по тестированию последних обновлений. Это руководство основано на оценке большого портфеля приложений и подробном анализе исправлений Microsoft и их потенциального влияния на платформы Windows и установки приложений.

Если вы используете внутренние веб-серверы или серверы приложений, стоит протестировать протокол HTTP3, особенно с помощью Microsoft Edge. В дополнение к этому обновлению обработки протокола Microsoft внесла значительное количество изменений и обновлений в сетевой стек, требующий следующего тестирования:

Учитывая большое количество изменений на уровне системы в этом месяце, я разделил сценарии тестирования на стандартные и профили высокого риска.

Учитывая, что это обновление включает в себя исправления четырех (некоторые говорят, пяти) ошибок нулевого дня, у нас есть два основных фактора изменений в этом месяце: ключевые функциональные изменения в основных системах и острая необходимость в доставке обновлений. Microsoft задокументировала, что две основные области были обновлены со значительными изменениями в функциональности, включая печать и стек локальной сети (с упором на маршрутизацию). В результате перед общим развертыванием следует включить следующее тестирование:

Следующие изменения были включены в этот месяц и не были отнесены к категории высокого риска (с неожиданными последствиями) и не включают функциональные изменения.

Все эти сценарии тестирования потребуют значительного тестирования на уровне приложения перед общим развертыванием. Учитывая изменения, включенные в исправления этого месяца, группа готовности рекомендует выполнить следующие тесты перед общим развертыванием:

В этом месяце может быть немного сложно протестировать вашу автоматизацию/скрипты Microsoft Office и интеграцию со сторонними приложениями из-за изменений в OLE и того, как Microsoft решила проблему CVE-2023-36884. Мы рекомендуем полностью протестировать макросы Excel (если они используют OLE/COM/DCOM) и любые сценарии VBS, включающие Word.

Ниже приведены важные изменения в обслуживании (и большинстве обновлений безопасности) настольных и серверных платформ Windows.

Каждый месяц мы разбиваем цикл обновлений на семейства продуктов (согласно определению Microsoft) со следующими основными группами:

Трудно поверить, но в этом цикле обновлений браузеров нет. И мы не видим, чтобы что-то готовилось к выпуску в середине цикла. Это большое изменение и огромный шаг вперед по сравнению с теми временами, когда были большие, сложные и срочные обновления браузеров. Вперед, Майкрософт!

Microsoft выпустила восемь критических обновлений и 95 исправлений, признанных важными для платформы Windows, охватывающих следующие ключевые компоненты: