Microsoft Spectre Variant 4 hujumiga qarshi choralar ko‘rdi.

Iyun oyidagi yangilanishlar to‘plamining chiqarilishi bilan Microsoft o‘z mahsulotlaridagi 50 dan ortiq zaiflikni bartaraf etdi.

Microsoft o‘zining rejalashtirilgan «Patch Tuesday» (yangilanishlar chiqariladigan seshanba) tadbiri doirasida xavfsizlik bo‘yicha yangilanishlar to‘plamini taqdim etdi. Ushbu yangilanishlar orasida «Speculative Store Bypass» (SSB) nomi bilan ham ma’lum bo‘lgan Spectre 4-variant (CVE-2018-3639) zaifligidan foydalangan holda amalga oshiriladigan hujumlarning oldini olishga qaratilgan funksiyani qo‘llab-quvvatlash imkoniyati ham mavjud. Keng muhokamalarga sabab bo‘lgan Meltdown-Spectre zaifliklarining ushbu to‘rtinchi varianti haqidagi tafsilotlar joriy yilning may oyida ma’lum bo‘lgan edi. Spectre 4-variant hujumlari deyarli barcha zamonaviy protsessorlarga xos bo‘lgan «taxminiy bajarish» (speculative execution) jarayoniga asoslanadi; tajovuzkorlar ushbu xususiyatdan «yon kanal» (side-channel) hujumlarini amalga oshirish va maxfiy ma’lumotlarni o‘g‘irlash uchun foydalanishlari mumkin. Ushbu xavfni kamaytirish maqsadida Microsoft Windows platformalari (Windows 10, 7, Windows Server 2008, Windows Server 2016 hamda Windows Server 1709 va 1803 versiyalari) va Azure tizimiga SSB ekspluatatsiyasining oldini oluvchi «Speculative Store Bypass Disable» (SSBD) funksiyasini qo‘llab-quvvatlash imkoniyatini qo‘shdi. Kompaniya bunday hujumning qanday amalga oshirilishi bo‘yicha tafsilotlarni oshkor qilmadi. Hozirgi vaqtda ushbu funksiyani qo‘llab-quvvatlash faqat Intel protsessorli qurilmalar uchun joriy etilgan bo‘lib, uni faollashtirish uchun Intel mikrokodini yangilash talab etiladi. AMD protsessorli kompyuterlar uchun yangilanishlar keyinroq taqdim etiladi va ular uchun mikrodastur (firmware) yangilanishi talab qilinmaydi.

Microsoft o‘zining iyun oyidagi yangilanishlar to‘plamini chiqarish orqali Windows, Internet Explorer, Edge, MS Office, MS Office Exchange Server, ChakraCore va Adobe Flash Player tizimlariga ta’sir qiluvchi 50 dan ortiq zaiflikni (jumladan, 11 ta o‘ta xavfli zaiflikni) bartaraf etdi. Eng jiddiy muammo Windows DNSAPI.dll komponentidagi (Windows domen nomlari tizimining bir qismi) CVE-2018-8225 zaifligi bo‘lib, u Windows 7 dan 10 gacha bo‘lgan barcha versiyalarga, shuningdek, Windows Serverning barcha tahrirlariga ta’sir qiladi. Ushbu zaiflik Windows tizimining DNS javoblarini qayta ishlash usuliga bog‘liq bo‘lib, undan tajovuzkor nazoratidagi DNS serverdan maxsus tayyorlangan DNS javoblarini yuborish orqali foydalanish mumkin. Ushbu kamchilikdan foydalangan holda, tajovuzkor «Local System Account» (Mahalliy tizim hisob qaydnomasi) huquqlari doirasida ixtiyoriy kodni bajarishi mumkin.

Boshqa tuzatishlar qatorida, Windows 10 va Windows Server tizimlaridagi CVE-2018-8231 va CVE-2018-8213 zaifliklari (ular ixtiyoriy kodni bajarish va maqsadli tizim ustidan nazoratni qo‘lga kiritish imkonini beradi) hamda Adobe o‘tgan hafta tuzatish (patch) chiqargan Flash Player’dagi «nol-kun» (zero-day) zaifligi bartaraf etildi.