As atualizações do Patch Tuesday de junho se concentram no Windows, Office

Jun 25, 2023

Por Greg Lambert, Colaborador, Computerworld |

Greg Lambert avalia os riscos para aplicativos e ambientes existentes no ciclo Patch Tuesday de cada mês.

A Microsoft lançou 73 atualizações para suas plataformas Windows, Office e Visual Studio no Patch Tuesday, com muitas delas lidando com vulnerabilidades de segurança essenciais, mas não urgentes. É uma pausa bem-vinda em relação aos seis meses anteriores de dias zero urgentes e divulgações públicas. Com isso em mente, a equipe de testes de prontidão sugere um foco nos processos de impressão e backup/recuperação para garantir que não sejam afetados por este ciclo de atualização.

Pela primeira vez, vemos um fornecedor terceirizado (não Adobe) adicionado a uma versão do Patch Tuesday, com três pequenas atualizações de plug-in para o Visual Studio para AutoDesk. Espere ver mais fornecedores desse tipo adicionados às atualizações da Microsoft em um futuro próximo. A equipe da Readiness criou um infográfico útil que descreve os riscos associados a cada uma das atualizações.

Todos os meses, a Microsoft inclui uma lista de problemas conhecidos relacionados ao sistema operacional e às plataformas no ciclo de atualização atual.

No momento, não temos informações sobre um cronograma de atualização antecipada ou fora dos limites da Microsoft para o Server 20222/VMWare e os problemas de interface do usuário de terceiros. Esses problemas são sérios, por isso esperamos uma resposta da Microsoft em breve.

As seguintes vulnerabilidades e exposições comuns (CVEs) foram revisadas recentemente no Guia de Atualização de Segurança da Microsoft:

A Microsoft publicou estas mitigações relacionadas à vulnerabilidade para o lançamento deste mês:

A cada mês, a equipe do Readiness analisa as atualizações mais recentes do Patch Tuesday para desenvolver orientações de teste detalhadas e acionáveis. Esta orientação baseia-se na avaliação de um grande portfólio de aplicativos e em uma análise detalhada dos patches da Microsoft e seu impacto potencial nas plataformas Windows e nas instalações de aplicativos.

Dado o grande número de alterações no nível do sistema incluídas neste ciclo, os cenários de teste são divididos em perfis padrão e de alto risco.

Muito parecido com as principais mudanças de segurança relacionadas à forma como as consultas SQL são tratadas em sistemas de desktop, a Microsoft fez uma atualização fundamental na forma como certas APIs de renderização são tratadas com um novo conjunto de restrições de segurança. Este é um requisito fundamental para separar as solicitações do modo de usuário e do driver de impressora do kernel. Estas não são novas APIs ou novos recursos, mas um fortalecimento das rotinas de retorno de chamada de API existentes. Esta é uma grande mudança e exigirá um regime completo de testes da impressora, incluindo:

As seguintes alterações incluídas na atualização deste mês não são consideradas de alto risco para resultados inesperados e não incluem alterações funcionais:

A Microsoft agora está proibindo as opções BCD preventlowmemory e truncatememory quando o Secureboot está ativado. Além disso, a Microsoft está bloqueando carregadores de boot que não foram atualizados com a atualização de maio de 2023.

Observação: suas opções de recuperação serão severamente limitadas, a menos que suas imagens de recuperação também tenham esta atualização vital de maio de 2023 aplicada. Para esta alteração específica no processo de inicialização, a equipe de preparação recomenda o seguinte regime de testes.

Atualize sua mídia de recuperação assim que seu regime de testes for concluído.

Todos esses cenários de teste (padrão e de alto risco) exigirão testes significativos no nível do aplicativo antes da implantação geral. Dada a natureza das alterações incluídas nos patches deste mês, a equipe de Preparação recomenda os seguintes testes antes da implantação:

Os testes automatizados ajudarão nesses cenários (especialmente uma plataforma de testes que oferece um "delta" ou comparação entre compilações. No entanto, para aplicativos de linha de negócios, fazer com que o proprietário do aplicativo (fazendo UAT) teste e aprove os resultados é absolutamente essencial .

Atualização do ciclo de vida do Windows

Esta seção conterá alterações importantes na manutenção (e na maioria das atualizações de segurança) nas plataformas de desktop e servidor Windows.