13 ноября было вторым вторником месяца, что означает появление программных обновлений продуктов Microsoft. На этот раз компания закрыла 62 уязвимости. Из них 12 помечены как критически важные.

Это означает, что сетевые администраторы должны ставить их на своих компьютерах в первую очередь. Одна из уязвимостей Windows 10 была публично раскрыта. Она описана в статье CVE-2018-8566 и существует также на Windows Server 2016 и Windows Server 2019. Её использование позволяет обойти механизм безопасности системы шифрования BitLocker. Это даёт злоумышленникам возможность получить доступ к зашифрованной в противном случае информации.

Чтобы использовать эту уязвимость, хакер должен получить физический доступ к компьютеру до следующей перезагрузки. Исправление заставляет Windows возобновлять шифрование устройства BitLocker после перезагрузки системы. Несмотря на публикацию данных об уязвимости, свидетельств о её применении в интернете нет.

Уязвимость нулевого дня Windows 7

Windows 7, Windows Server 2008 и Windows Server 2008 R2 имеют собственные уязвимости нулевого дня, описанные в статье CVE-2018-8589. Это баг с возможностью повышения привилегий в системе. Он находится в файле Win32k.sys и позволяет выполнять произвольный код и получать права на установку программ и создание новых учётных записей с правами администратора. Для применения уязвимости хакер сначала должен войти в систему. Потом он может запустить специально созданное приложение и взять контроль над компьютером.

Применение этого бага уже было обнаружено и рекомендуется закрыть уязвимость как можно скорее.

Кроме того, выпущено обновление для браузера Microsoft Edge и Internet Explorer, где также есть критические уязвимости. Обновления есть и для Windows 7 и Windows 8.1.