Opravit Internet Explorer, hned poté Flash

Ze šesti bulletinů zabezpečení Microsoftu jsou kritické dva, první určen pro MSIE, druhý pro Windows. Wolfgang Kandek, CTO ve společnosti Qualys, doporučuje na americkém Computerworldu jako první nasadit opravu MS-14-037, tj. aktualizaci Internet Exploreru, která opravuje celkem 23 jednotlivých bezpečnostních zranitelností. Útočník může bez nasazení těchto oprav ovládnout počítač často už při návštěvě podvodného webu (tj. útoky drive-by download).

Amol Sarwate rovněž ze společnosti Qualys v této souvislosti dodává, že Internet Explorer možná není chybovější než Firefox nebo Chrome, ale Microsoft vydává příslušné bulletiny zabezpečení a nevolí tiché aktualizace vždy v okamžiku, když je oprava k dispozici, proto se chybám v prohlížeči Microsoftu dostává větší publicity.
Další kritická oprava MS14-038 látá problém v operačních systémech, konkrétně v softwaru Windows Journal - tj. zpracování textu psaného perem na obrazovce. Tento formát se ovšem používá nejen na zařízeních s dotykovými displeji, ale i jinde – pro čtení souborů v příslušném formátu. Podvržený soubor může vzhledem k chybě způsobit vzdálené spuštění kódu. W. Kandek doporučuje, že pokud se v organizaci s tímto formátem nepracuje, stojí za to příslušné soubory plošně zakázat.
Kandek dále pokračuje, že velkou prioritou ve firmách by mělo být tentokrát nasadit opravu pro plug-in Adobe Flash – alespoň pokud se v podniku používají jiné prohlížeče než MSIE 10, MSIE 11 nebo Chrome, které si tento plug-in aktualizují automaticky. Pro jiné prohlížeče má oprava dle Kandeka prioritu č. 2, hned za aktualizací Internet Exploreru (viz výše).Jedna z právě opravených chyb v Adobe Flash totiž umožňuje útočníkovi vytvořit podvodné soubory SWF. Stačí pak pouze navštívit příslušný web a útočník se dostane ke cookies uloženým v prohlížeči, včetně těch, které obsahují autentizační údaje. Na tuto zranitelnost upozornil Michele Spagnuolo ze švýcarské pobočky Googlu, který demonstroval postup zneužití pomocí nástroje s názvem Roseta Flash.
Ross Barrett z firmy Rapid7 pro americkým Computerworld uvedl, že pokusy o zneužití lze v tomto případě očekávat velmi rychle. Provozovatelé hlavním webových služeb se snaží své přihlašovací mechanismy před tímto problémem ochránit bez ohledu na postup Adobe, spoléhat však na to rozhodně nelze.