Bu ayki Yama Salı güncellemesinde Exchange güncellemelerinden bir erteleme alsak da, daha fazla yazıcı güncellemesi yolda. Adobe, Microsoft Exchange veya Visual Studio için hiçbir güncelleme olmamasına rağmen Adobe Reader için 15 kritik güncellemeyle geri döndü. Ve Microsoft’un yeni yama dağıtım aracı Otomatik yama şimdi yayında. (Her zaman buradaki ana sorunun uygulama testi olduğunu düşündüm, ancak aslında yamaları dağıtmak hala zor.)
Rakamlar hala oldukça yüksek olsa da (86+ bildirilen güvenlik açığı ile), Temmuz ayı için test ve dağıtım profili oldukça ılımlı olmalıdır. Exchange Server savunmalarınızı ve azaltma süreçlerinizi güçlendirmek için zaman ayırmanızı ve test süreçlerinize yatırım yapmanızı öneririz.
Bu Yama Salı güncellemelerini dağıtma riski hakkında daha fazla bilgi bulabilirsiniz. yardımcı bilgi grafiğimizde .
Bu Temmuz yama döngüsündeki çok sayıda değişiklik göz önüne alındığında, test senaryolarını yüksek riskli ve standart risk gruplarına ayırdım:
Yüksek risk: Bu değişikliklerin işlevsellik değişiklikleri içermesi muhtemeldir, mevcut işlevleri kullanımdan kaldırabilir ve muhtemelen yeni test planları oluşturulmasını gerektirecektir.
Çekirdek yazdırma işlevi güncellendi:
Temel değişiklikler, Microsoft’un çekirdek sürücüleri için zaman damgası denetimini nasıl desteklediğiyle ilgilidir, bu nedenle dijital olarak imzalanmış ikili dosyalar gerektiren uygulamaları test etmek bu döngü için anahtardır. Buradaki büyük değişiklik, imzasız sürücülerin yüklenmemesidir. Bu, bazı uygulama sorunlarına veya uyumluluk sorunlarına neden olabilir. Sürücülere bağlı (hem imzalı hem de imzasız) tüm uygulamaları belirleyerek uygulama portföyünün taranmasını ve yükleme, uygulama alıştırması ve kaldırmayı içeren bir test planı oluşturmanızı öneririz. Yama öncesi ve sonrası makineler arasında bir karşılaştırma yapmak da yardımcı olacaktır.
Aşağıdaki değişikliklerin işlevsel değişiklikler içerdiği belgelenmemiştir, ancak yine de en az “duman testi” genel dağıtımdan önce:
Ve kıvırmak. Özellikle, CURL.EXE: — HTTP protokolleri aracılığıyla dosya göndermek için bir komut satırı aracı (dolayısıyla “istemci URL’si”) — bu ay güncellendi. Windows için Curl (bu ay güncellenen), Açık Kaynak proje kıvrılmasından farklıdır. Curl proje ekibinin bunu neden sunduğu konusunda kafanız karıştıysa, işte cevap:
“Windows ile birlikte gönderilen kıvırma aracı Microsoft tarafından oluşturulmuş ve işlenmiştir. Bu, curl projesi tarafından sunulan Windows yapılarına kıyasla farklı özellik ve yeteneklerin etkinleştirilip devre dışı bırakılacağı ayrı bir yapıdır. Bununla birlikte, aynı kaynaktan curl oluştururlar. Eğer onların curl versiyonuyla ilgili sorunlarınız varsa, bunu onlara bildirin. Muhtemelen Microsoft’un curl paketlerinin her zaman curl projesinin sağladığı sürümlerin gerisinde kalacağını varsayabilirsiniz.”
Bununla birlikte, curl komutunu (Windows tarafından desteklenen daldan alınan) kullanan ekiplerin komut dosyalarına hızlı bir test çalıştırması yapmalarını öneririz. Microsoft, bu ay aşağıdakileri içeren bir test senaryosu matrisi yayınladı:
Not: Bu test senaryolarının her biri için manuel kapatma, yeniden başlatma ve yeniden başlatma önerilir.
Microsoft her ay, bu güncelleme döngüsüne dahil edilen işletim sistemi ve platformlarla ilgili bilinen sorunların bir listesini içerir. Temmuz ayı için dikkate alınması gereken bazı karmaşık değişiklikler var:
Bu ay Microsoft, önceki yamalarda herhangi bir büyük revizyon veya güncellemeyi resmi olarak yayınlamadı. Bir tür “sinsi” vardı .NET grubundan güncelleme bunun gerçekten resmi Microsoft dokümantasyon güncelleme sürecine dahil edilmiş olması gerekirdi. Ancak, bu güncelleştirme yalnızca Visual Studio’nun sonraki sürümleri için belgelenmiş destekti.
Microsoft, bir Windows ağ güvenlik açığı için bir anahtar azaltma yayınladı:
Her ay, güncelleme döngüsünü aşağıdaki temel gruplarla ürün ailelerine (Microsoft tarafından tanımlandığı şekilde) ayırıyoruz:
Sadece daha iyi olmaya devam ediyor. Microsoft’un tarayıcısında bildirilen güvenlik açığı için düşüş eğilimi, yalnızca iki (CVE-2022-2294 ve CVE-2022-2295) Bu Temmuz için Chromium güncellemeleri. Her iki güncelleme de yalnızca Edge’i (Chromium) etkiler ve geçen hafta yayınlandı. İlk analizimiz, her iki güncellemenin de tarayıcı uyumluluğu üzerinde marjinal bir etkisi olacağını gösterecek şekilde Chrome otomatik olarak güncellenmelidir. Bu güncelleme hakkında şuradan okuyabilirsiniz: Google Bloguüzerinde bulunan teknik detaylar ile Git. Bu düşük profilli, düşük riskli güncellemeleri standart tarayıcı sürüm programınıza ekleyin.
Bu ay yalnızca dört kritik güncelleme ve 16 önemli olarak derecelendirilen Microsoft, BT yöneticilerine gerçekten biraz mola veriyor. Bu sürüm döngüsü için dört kritik Windows güncellemesi şunları içerir:
Tüm bu kritik güncellemelerin düzeltildiği resmi olarak onaylandı ve Windows masaüstü sistemlerinde kamuya açık açıklardan yararlanıldığına dair herhangi bir rapor bulunmuyor. Kalan 14 güncelleme Microsoft tarafından önemli olarak derecelendirilmiştir ve aşağıdaki Windows sistemlerini ve bileşenlerini etkiler:
Ne yazık ki, Windows Server 2012 raporlarıyla o kadar iyi gitmedi. CVE-2022-22047 vahşi doğada sömürülür. Bu Windows sunucusu güvenlik açığı, İstemci Sunucusu Çalışma Zamanı alt sistemini etkiler (CRSS) kötü davranan tüm kullanıcı modu sürücülerinin takıldığı yerdir. Bakımınız altında herhangi bir Windows Server 2012 varsa, bu bir “Şimdi Düzeltme” güncellemesidir. Aksi takdirde, bu çok düşük profilli Windows güncellemesini standart yayın planınıza ekleyin. Ve unutmayın, Microsoft başka bir Windows 11 güncelleme videosu yayınladı; burada bulunur .
Microsoft yalnızca iki tane yayınladı (CVE-2022-33632 ve CVE-2022-33633) bu ay Microsoft Office güncellemeleri. Her iki güncelleme de Microsoft tarafından önemli olarak derecelendirilmiştir ve her ikisi de hedef sistemde yerel, kimliği doğrulanmış ayrıcalıklar gerektirir. Bu güncelleştirmeleri standart Office güncelleştirme programınıza ekleyin.
Microsoft Exchange Server güncellemelerine ara vermemiz iyi oldu. Sadece dinlenmek yerine, Exchange güvenlik altyapınıza yatırım yapmaya değer olabilir. Microsoft, geçtiğimiz yıl boyunca Exchange’de bazı önemli iyileştirmeler sağladı; İşte Exchange Sunucunuzun güvenliğini sağlamaya yönelik birkaç fikir:
Tüm bu özellikler ve teklifler, en azından Office 2019’u kullanmaya dayanır – Microsoft’un herkesin en azından Exchange Server 2019’a geçmesini şiddetle tavsiye etmesinin bir başka nedeni. EM Hizmeti en son şurada kullanıldı: Mart 2021 birkaç Microsoft Exchange güvenlik açığıyla başa çıkmak için (CVE-2021-26855, CVE-2021-26857ve CVE-2021-26858). Bunlar, şirket içi sunuculara özel saldırılardı. Bu hizmetin orada olduğunu bilmek faydalı, ancak son zamanlarda gerekli olmadığına sevindim.
Microsoft Exchange’de olduğu gibi, Microsoft bu ay Microsoft .NET platformu veya araçları için herhangi bir “yeni” güvenlik güncellemesi yayınlamadı. Ancak, bir sorun vardı Haziran ayı .NET güncellemesibu ay ele alındı. Bu ayın .NET’i sürüm, bazı .NET sürümlerinin önceki yama tarafından ele alınmaması sorununu çözmektedir – bu yalnızca bilgilendirme amaçlı bir güncellemedir. Microsoft Windows güncelleme altyapısını kullanıyorsanız başka bir işlem yapmanız gerekmez.
Bu, Adobe Reader için kritik olarak derecelendirilen 15 güncelleme ve önemli olarak derecelendirilen yedi güncelleme ile Adobe’den büyük bir güncellemedir. Kritik güncellemeler esas olarak bellek sorunlarıyla ilgilidir ve yama uygulanmamış sistemde rastgele kod uygulanmasına yol açabilir. Adobe bülteni hakkında daha fazla bilgi edinebilirsiniz (APSB22-32) ve Adobe güvenlik bültenleri burada. Bu uygulamaya özel güncellemeyi “Şimdi Düzelt” sürümünüze ekleyin.