Microsoft Security Update เมษายน 2558: ปิดช่องโหว่ที่ใช้โจมตี Windows, Office และ IE

ไมโครซอฟท์ออกการปรับปรุงความปลอดภัยซอฟต์แวร์เดือนเมษายน 2558 จำนวน 11 ตัว สำหรับปรับปรุงความปลอดภัยใน Windows, Office, Internet Explorer (IE), .NET Framework และ Server Software

สรุปอัปเดตความปลอดภัยเดือนเมษายน 2558
ไมโครซอฟท์ออกอัปเดตความปลอดภัย (Security Update หรือ Patch Tuesday) เดือนเมษายน 2558 จำนวน 11 ตัว สำหรับปรับปรุงช่องโหว่ความปลอดภัย (ไมโครซอฟท์ไม่ได้ระบุว่ามีช่องโหว่ความปลอดภัยที่ได้รับการปรับปรุงจำนวนกี่จุด) ที่พบใน Windows, Office, IE, .NET Framework และ Server Software แบ่งเป็นอัปเดตสำหรับปรับปรุงช่องโหว่ความปลอดภัยร้ายแรงวิกฤตจำนวน 4 ตัว และอัปเดตสำหรับแก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงจำนวน 7 ตัว โดยไมโครซอฟท์แนะนำให้ผู้ใช้ทำการติดตั้งอัปเดตทั้งหมดในทันทีที่ทำได้

สำหรับรายชื่ออัปเดตความปลอดภัยเดือนเมษายน 2558 มีดังต่อไปนี้

• MS15-032: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงวิกฤตใน Windows/Internet Explorer ที่ใช้ทำ Remote Code Execution ได้
• MS15-033: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงวิกฤตใน Office ที่ใช้ทำ Remote Code Execution ได้
• MS15-034: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงวิกฤตใน Windows ที่ใช้ทำ Remote Code Execution ได้
• MS15-035: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงวิกฤตใน Windows ที่ใช้ทำ Remote Code Execution ได้
• MS15-036: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงใน Server Software ที่ใช้ทำ Elevation of Privilege ได้
• MS15-037: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงใน Windows ที่ใช้ทำ Elevation of Privilege ได้
• MS15-038: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงใน Windows ที่ใช้ทำ Elevation of Privilege ได้
• MS15-039: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงใน Windows ที่ใช้ทำ Security Feature Bypass ได้
• MS15-040: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงใน Windows ที่ทำให้เกิด Information Disclosure ได้
• MS15-041: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงใน Windows/.NET Framework ที่ทำให้เกิด Information Disclosure ได้
• MS15-042: แก้ไขช่องโหว่ความปลอดภัยร้ายแรงสูงใน Windows ที่ใช้ทำ Denial of Service ได้

Security Bulletin April 2015 (เครดิต: Microsoft)

สำหรับรายชื่อซอฟต์แวร์ทั้งหมดที่จะได้รับผลกระทบนั้น สามารถอ่านได้จากเว็บไซต์ Microsoft

MS15-032: Cumulative Security Update for Internet Explorer (3038314)
MS15-032 เป็นอัปเดตสำหรับปิดช่องโหว่ความปลอดภัยที่มีผลกระทบรุนแรงวิกฤตกับ IE6 ถึง IE11 บน Windows ลูกข่าย และมีผลกระทบปานกลางกับ IE6 ถึง IE11 บน Windows Server โดยช่องโหว่นี้สามารถใช้ทำการรันมัลแวร์เพื่อโจมตีระบบจากระยะไกลได้ เมื่อผู้ใช้ทำการเปิดหน้าเว็บที่มีมัลแวร์แฝงอยู่ด้วย IE กรณีที่การโจมตีประสบความสำเร็จผู้โจมตีจะได้รับสิทธิ์ในระดับเดียวกับสิทธิ์ของผู้ใช้ที่กำลังใช้งานในขณะที่ถูกโจมตี อ่านรายละเอียดเพิ่มเติมที่ MS15-032

MS15-033: Vulnerabilities in Microsoft Office Could Allow Remote Code Execution (3048019)
MS15-033 เป็นอัปเดตสำหรับปิดช่องโหว่ความปลอดภัยในโปรแกรม Office โดยช่องโหว่นี้สามารถใช้ทำการรันมัลแวร์เพื่อโจมตีระบบจากระยะไกลได้เมื่อผู้ใช้ทำการเปิดไฟล์ที่มีมัลแวร์แฝงอยู่ด้วยโปรแกรม Office ถ้าการโจมตีประสบความสำเร็จผู้โจมตีจะสามารถทำการรันโปรแกรมด้วยระดับสิทธิ์ของผู้ใช้ที่กำลังใช้งานในขณะที่ถูกโจมตี อ่านรายละเอียดเพิ่มเติมที่ MS15-033

โดยมีผลกระทบกับโปรแกรมต่างๆ ดังนี้
โปรแกรมที่ได้รับผลกระทบรุนแรงวิกฤต:

• Word 2007, Office 2010, Word 2010
• Word Viewer, Office Compatibility Pack
• Word Automation Services on SharePoint Server 2010
• Office Web Apps Server 2010

โปรแกรมที่ได้รับผลกระทบปานกลาง:

• Word 2013
• Office for Mac 2011, Word for Mac 2011, Outlook for Mac for Office 365
• Word Automation Services on SharePoint Server 2013
• Office Web Apps Server 2013

MS15-034: Vulnerability in HTTP.sys Could Allow Remote Code Execution (3042553) MS15-034 เป็นอัปเดตสำหรับปิดช่องโหว่ความปลอดภัยไฟล์ HTTP.sys (IIS) ซึ่งเกิดจาก HTTP protocol stack ประมวลผลการร้องขอ HTTP ผิดพลาด ทำให้เกิดช่องโหว่ที่สามารถใช้โจมตี Windows จากระยะไกล (Remote Code Execution ) เพื่อเข้ายึดระบบหรือทำให้เกิดจอฟ้ามรณะ (BSoD) ได้ ช่องโหว่นี้มีหมายเลขอ้างอิง CVE-2015-1635 มีผลกระทบรุนแรงวิกฤตกับ Windows 7, 8, 8.1 Windows Server 2008, 2008 R2, 2012 และ 2012 R2 ทั้งนี้ มีการเผยแพร่โค้ด/วิธีการโจมตีช่องโหว่ดังกล่าวนี้อย่างกว้างขวางบนอินเทอร์เน็ต อ่านรายละเอียดเพิ่มเติมที่ MS15-034

การอัปเดตระบบ
ผู้ใช้ Windows สามารถทำการอัปเดตโดยใช้เครื่องมือ Windows Update จากบนเครื่อง (ขึ้นอยู่กับเวอร์ชันของ Windows ที่ใช้) หรือจากทำการอัปเดตผ่านทางเซิร์ฟเวอร์ WSUS (สำหรับผู้ใช้แบบองค์กร) ทั้งนี้ ตั้งแต่วันที่ 12 เมษายน 2558 (ตามเวลาในประเทศไทย) เป็นต้นไป

ความเห็นของผู้เขียน
สำหรับการอัปเดตเดือนเมษายนนี้ แม้ว่าไมโครซอฟท์จะแนะนำให้ผู้ใช้ Windows ทำการติดตั้งอัปเดตทุกตัวในทันทีที่ทำได้โดยเฉพาะอย่างยิ่งผู้ที่ใช้ IIS บน Windows อย่างไรก็ตาม ผมขอแนะนำแอดมินที่รับผิดชอบการติดตั้งอัปเดตบนคอมพิวเตอร์ให้ทดลองติดตั้งบนเครื่องทดสอบให้แน่ใจก่อนว่าไม่เกิดปัญหาระบบเสียจากบั๊กของอัปเดต แล้วจากนั้นจึงค่อยทำการติดตั้งบนเครื่องที่ใช้งานจริงครับ

หมายเหตุ: ตั้งแต่เดือนมกราคม 2558 เป็นต้นไปไมโครซอฟท์จะแจ้งรายละเอียดการออกอัปเดตล่วงหน้าหรือ Advance Notification Service (ANS) ให้เฉพาะลูกค้าพรีเมียร์และบริษัทที่เข้าร่วมโปรแกรมความปลอดภัยเท่านั้น อ่านรายละเอียด

แหล่งข้อมูลอ้างอิง
Microsoft Security Center
Microsoft Security Response Center

Copyright © 2015 TWA Blog. All Rights Reserved.