Вторник патчей, май 2023: Microsoft исправила 38 проблем безопасности, в том числе три уязвимости «нулевого дня»

2023-05-09 6878 комментарии
Во «Вторник Патчей», 9 мая 2023 года, компания Microsoft выпустила исправления для 38 проблем безопасности, включая три уязвимости нулевого дня

Шесть исправленных уязвимостей получили наивысший рейтинг серьезности «Критический», так как способствуют удаленному выполнению произвольного кода на уязвимых устройствах.

Классификация уязвимостей по типу:

  • 8 уязвимостей повышения привилегий
  • 4  уязвимости обхода функций безопасности
  • 12 уязвимостей удаленного выполнения кода
  • 8 уязвимостей раскрытия информации
  • 5 уязвимостей отказа в обслуживании
  • 1 уязвимость спуфинга

Еще 11 уязвимостей были исправлена в релизе Microsoft Edge 113, который состоялся на прошлой неделе.

Для установки доступны следующие обновления:

Исправлено три уязвимости нулевого дня

В этот «Вторник Патчей» Microsoft исправила три уязвимости нулевого дня, две из которых активно эксплуатировались в реальных атаках.

Microsoft расценивает уязвимость как уязвимость нулевого дня, если она была публично раскрыта или активно используется до выхода официального патча.

Исправлены следующие уязвимости:

  • CVE-2023-29336 — уязвимость повышения привилегий Win32k.

Microsoft исправила уязвимость повышения привилегий в драйвере ядра Win32k. В случае успешной эксплуатации злоумышленники могли получить наивысший уровень привилегий SYSTEM.

В бюллетене Microsoft сообщается:

Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить привилегии SYSTEM.

Microsoft не раскрывает подробности атак с использованием данной уязвимости.

  • CVE-2023-24932 — уязвимость обхода механизма безопасности Secure Boot.

Microsoft исправила проблему безопасности Secure Boot, которая позволяла устанавливать UEFI буткит BlackLotus.

В бюллетене Microsoft сообщается:

Чтобы воспользоваться этой уязвимостью, злоумышленник, имеющий физический доступ к устройства или права администратора, может установить уязвимую политику загрузки.

UEFI буткиты — коварный вид вредоносного ПО. Они остаются невидимыми для антивирусного ПО, работающего в системе, потому что загружаются на начальном этапе запуска системы.

С октября 2022 года буткит BlackLotus продается на хакерских площадках и продолжает развиваться. В марте компания ESET сообщила, что зловред получил улучшенную возможность обхода Secure Boot даже на полностью пропатченных системах Windows 11.

В прошлом месяце Microsoft выпустила руководство по обнаружению атак буткитов BlackLotus UEFI, а теперь исправила уязвимость, используемую буткитом, но не включила патч по умолчанию.

Microsoft поясняет:

Обновление для системы безопасности устраняет уязвимость, обновляя диспетчер загрузки Windows, но по умолчанию исправление не включено.

В настоящее время требуются дополнительные шаги для устранения уязвимости. Пожалуйста, обратитесь к следующему документу поддержки, чтобы определить влияние на вашу среду: KB5025885: как управлять отзывами диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932.

Microsoft также выпустила обновление безопасности для одной публично раскрытой уязвимости нулевого дня, которая не использовалась активно.

  • CVE-2023-29325 — уязвимость удаленного выполнения кода Windows OLE.

Microsoft исправила уязвимость Windows OLE в Microsoft Outlook, которую можно эксплуатировать с помощью специально созданных электронных писем.

В бюллетене Microsoft сообщается:

В сценарии атаки по электронной почте злоумышленник может воспользоваться уязвимостью, отправив специально созданное электронное письмо жертве.

Эксплуатация уязвимости возможна при открытии жертвой специально созданного электронного письма с помощью уязвимой версии Microsoft Outlook, либо при отображении предварительного просмотра специально созданного письма в Outlook.

В результате злоумышленник может выполнить удаленный код на машине жертвы.

Однако злоумышленник должен выиграть условие «гонки» и предпринять дополнительные действия, чтобы успешно использовать уязвимость.Согласно Microsoft, пользователи могут смягчить эту уязвимость, прочитав сообщения в текстовом формате.

Обновления от других компаний

  • Компания Apple выпустила исправления для наушников Beats.
  • Компания Cisco выпустила обновления безопасности для многих продуктов, в частности для Cisco IOS и адаптеров телефонии Cisco SPA112 2-Port.
  • Компания Google выпустила обновления безопасности для Android с исправлениями ошибки, которая могла использоваться для шпионажа.
  • Компания SAP выпустила майские обновления безопасности.
© . По материалам Bleeping Computer
Комментарии и отзывы

Нашли ошибку?

Новое на сайте