Microsoft, bu yılki ilk Yama Düzeltmesini, Windows işletim sistemlerinde ve 7’si kritik, 40’ı önemli ve 2’si önemsiz olarak derecelendirilmiş diğer ürünlerinde CVE tarafından listelenen 49 güvenlik açığına yönelik olarak yayımladı.
Bu ay teknoloji devinin yattığı güvenlik açıklarından sadece birinin bu ay piyasaya sürüldüğü sırada kamuoyu tarafından bilindiği bildirildi ve hiçbiri vahşi ortamda aktif olarak sömürülmedi. Kritik derecelendirilmiş yedi güvenlik açığının tümü uzaktan kod yürütülmesine neden olur ve öncelikle Windows 10 ve Sunucu sürümlerinin çeşitli sürümlerini etkiler. Kritik 7 kusurdan ikisi, konuk bir işletim sistemindeki kimliği doğrulanmış bir kullanıcının girişini doğru şekilde doğrulayamayan Microsoft’un Hyper-V ana bilgisayar işletim sistemini, üçü de Edge’teki bellekteki nesneleri düzgün bir şekilde işlemeyi başaramayan ChakraCore komut dosyası motorunu etkiler; Bu, tarayıcı bellekteki nesneleri düzgün bir şekilde işlemediğinde ortaya çıkar ve bunlardan biri belirli DHCP yanıtlarını düzgün bir şekilde yerine getiremeyen Windows DHCP istemcisini etkiler.
Kamuya açıklanan ancak vahşi doğada istismar edilmeyen, CVE-2019-0579 olarak tanımlanan ve önemli olarak değerlendirilen kusur, Windows Jet Database motorunda bir kurbanın sisteminde rasgele kod yürütmek için kullanılabilecek bir uzaktan kod yürütme (RCE) güvenlik açığı ile ilgilidir. Özel hazırlanmış bir dosyayı açmak için onu kandırarak. Diğer “Önemli” güvenlik açıkları .NET framework, MS Exchange Server, Edge, Internet Explorer, SharePoint, Office paketi, Windows Veri Paylaşımı Hizmeti, Visual Studio, Outlook ve Linux için Windows Alt Sistemi’nde ele alınmaktadır. Bu ay yamalanan MS Office hatalarından biri, Microsoft Office hafızasının içeriğini yanlış bir şekilde açıkladığında ortaya çıkan bir bilgi ifşa hatası (CVE-2019-0560). Saldırganlar, bir kullanıcıyı özel hazırlanmış bir Office belgesini açması için kandırarak bu güvenlik açığından yararlanabilir. Başarılı bir şekilde yararlanılması, bir saldırganın daha sonra bir kurbanın bilgisayarını veya verilerini tehlikeye atmak için kullanılabilecek Office belleğinden bilgi edinmesine izin verebilir.
Microsoft, bu güvenlik açığı nedeniyle Mimecast Research Labs’daki Tal Dery ve Menahem Breuer’i kredilendirdi. Bulguları hakkında daha fazla ayrıntı öğrenmek için bir danışma belgesine ve Mimecast tarafından yayınlanan bir blog gönderisine başvurabilirsiniz. Bu ay Microsoft tarafından düzeltilen diğer bir önemli hata, korsanların Android cihazındaki kilit ekranı atlamasına ve kişisel verilere erişmesine neden olabilecek bir ayrıcalık güvenlik açığı (CVE-2019-0622) güvenlik açığıdır.
Skype hatası ‘orta’ olarak değerlendirildi ve bir saldırganın cihazınıza fiziksel olarak erişmesini gerektiriyor. Bu güvenlik açığı için bir düzeltme eki, 23 Aralık’taki Skype sürümüne dahil edildi, ancak Android için Skype kullanıcılarının Google Play’den uygulamayı manuel olarak güncellemeleri gerekiyor.
Microsoft bunu genel olarak bilinen şekilde listelemesede, araştırmacı 31 Aralık’ta güvenlik açığını açıklayan bir YouTube videosu yayınladı. Bu aydaki yama güncellemesinin bir parçası olmasa da, kullanıcıların bir bellek bozulması güvenlik açığını düzeltmek için en son güncellemeleri indirmeleri önerilir (CVE -2018-8653) Internet Explorer’da, Microsoft’un Aralık’ta bant dışı bir düzeltme eki yayınlayarak ele alması nedeniyle ele alınıyor; Kullanıcıların ve sistem yöneticilerinin, bilgisayar korsanlarının ve siber suçluların sistemlerini kontrol etmekten uzak tutmaları için en kısa zamanda en son güvenlik düzeltme eklerini kullanmaları önerilir.
En son güvenlik düzeltme eki güncellemelerini yüklemek için, bilgisayar sisteminizde Ayarlar → Güncelleme ve Güvenlik → Windows Güncelleme → Güncellemeleri denetle seçeneğine gidin veya güncellemeleri manuel olarak yükleyebilirsiniz.