Вторник патчей, май 2023: Microsoft исправила 38 проблем безопасности, в том числе три уязвимости «нулевого дня»

Шесть исправленных уязвимостей получили наивысший рейтинг серьезности «Критический», так как способствуют удаленному выполнению произвольного кода на уязвимых устройствах.

Классификация уязвимостей по типу:

• 8 уязвимостей повышения привилегий
• 4  уязвимости обхода функций безопасности
• 12 уязвимостей удаленного выполнения кода
• 8 уязвимостей раскрытия информации
• 5 уязвимостей отказа в обслуживании
• 1 уязвимость спуфинга

Еще 11 уязвимостей были исправлена в релизе Microsoft Edge 113, который состоялся на прошлой неделе.

Для установки доступны следующие обновления:

• Обновление KB5026372 (Build 22621.1702) для Windows 11, версия 22H2
• Обновление KB5026368 (Build 22000.1936) для Windows 11, версия 21H2
• Обновление KB5026361 для Windows 10, версия 22H2 и 21H2
• Обновления безопасности для Windows Server за май 2023.

Исправлено три уязвимости нулевого дня

В этот «Вторник Патчей» Microsoft исправила три уязвимости нулевого дня, две из которых активно эксплуатировались в реальных атаках.

Microsoft расценивает уязвимость как уязвимость нулевого дня, если она была публично раскрыта или активно используется до выхода официального патча.

Исправлены следующие уязвимости:

• CVE-2023-29336 — уязвимость повышения привилегий Win32k.

Microsoft исправила уязвимость повышения привилегий в драйвере ядра Win32k. В случае успешной эксплуатации злоумышленники могли получить наивысший уровень привилегий SYSTEM.

В бюллетене Microsoft сообщается:

Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить привилегии SYSTEM.

Microsoft не раскрывает подробности атак с использованием данной уязвимости.

• CVE-2023-24932 — уязвимость обхода механизма безопасности Secure Boot.

Microsoft исправила проблему безопасности Secure Boot, которая позволяла устанавливать UEFI буткит BlackLotus.

В бюллетене Microsoft сообщается:

Чтобы воспользоваться этой уязвимостью, злоумышленник, имеющий физический доступ к устройства или права администратора, может установить уязвимую политику загрузки.

UEFI буткиты — коварный вид вредоносного ПО. Они остаются невидимыми для антивирусного ПО, работающего в системе, потому что загружаются на начальном этапе запуска системы.

С октября 2022 года буткит BlackLotus продается на хакерских площадках и продолжает развиваться. В марте компания ESET сообщила, что зловред получил улучшенную возможность обхода Secure Boot даже на полностью пропатченных системах Windows 11.

В прошлом месяце Microsoft выпустила руководство по обнаружению атак буткитов BlackLotus UEFI, а теперь исправила уязвимость, используемую буткитом, но не включила патч по умолчанию.

Microsoft поясняет:

Обновление для системы безопасности устраняет уязвимость, обновляя диспетчер загрузки Windows, но по умолчанию исправление не включено.

В настоящее время требуются дополнительные шаги для устранения уязвимости. Пожалуйста, обратитесь к следующему документу поддержки, чтобы определить влияние на вашу среду: KB5025885: как управлять отзывами диспетчера загрузки Windows для изменений безопасной загрузки, связанных с CVE-2023-24932.

Microsoft также выпустила обновление безопасности для одной публично раскрытой уязвимости нулевого дня, которая не использовалась активно.

• CVE-2023-29325 — уязвимость удаленного выполнения кода Windows OLE.

Microsoft исправила уязвимость Windows OLE в Microsoft Outlook, которую можно эксплуатировать с помощью специально созданных электронных писем.

В бюллетене Microsoft сообщается:

В сценарии атаки по электронной почте злоумышленник может воспользоваться уязвимостью, отправив специально созданное электронное письмо жертве.

Эксплуатация уязвимости возможна при открытии жертвой специально созданного электронного письма с помощью уязвимой версии Microsoft Outlook, либо при отображении предварительного просмотра специально созданного письма в Outlook.

В результате злоумышленник может выполнить удаленный код на машине жертвы.

Однако злоумышленник должен выиграть условие «гонки» и предпринять дополнительные действия, чтобы успешно использовать уязвимость.Согласно Microsoft, пользователи могут смягчить эту уязвимость, прочитав сообщения в текстовом формате.

Обновления от других компаний

• Компания Apple выпустила исправления для наушников Beats.
• Компания Cisco выпустила обновления безопасности для многих продуктов, в частности для Cisco IOS и адаптеров телефонии Cisco SPA112 2-Port.
• Компания Google выпустила обновления безопасности для Android с исправлениями ошибки, которая могла использоваться для шпионажа.
• Компания SAP выпустила майские обновления безопасности.