Вторник патчей, июль 2024: Microsoft исправила 142 уязвимости, включая 4 уязвимости «нулевого дня»

Всего исправлено пять критических уязвимостей — все они являются уязвимостями удаленного выполнения кода.

Классификация уязвимостей по типу:

• 26 уязвимостей повышения привилегий
• 24 уязвимости обхода функций безопасности
• 59 уязвимостей удаленного выполнения кода
• 9 уязвимостей раскрытия информации
• 17 уязвимостей отказа в обслуживании
• 7 уязвимостей спуфинга

Для установки доступны следующие обновления:

Windows

Windows Server

• Обновление KB5040435 (Build 26100.1150) для Windows Server 2025
• Обновление KB5040438 (Build 25398.1009) для Windows Server, версия 23H2
• Обновление KB5040437 (Build 20348.2582) для Windows Server 2022
• Обновление KB5040430 (Build 17763.6054) для Windows Server 2019
• Обновление KB5040434 (Build 14393.7159) для Windows Server 2016

Исправлены четыре уязвимости «нулевого дня»

В этот «Вторник Патчей» исправлены две активно эксплуатируемые и две публично раскрытые уязвимости нулевого дня.

Microsoft классифицирует уязвимость как уязвимость нулевого дня, если она публично раскрыта или активно эксплуатируется без официального исправления.

Исправлены две активно эксплуатируемые уязвимости нулевого дня:

• CVE-2024-38080 — уязвимость повышения привилегий в Windows Hyper-V

Microsoft исправила активно эксплуатируемую уязвимость повышения привилегий в Hyper-V, которая предоставляет атакующим привилегии SYSTEM.

В бюллетени по безопасности сообщается:

Злоумышленник, успешно проэксплуатировавший эту уязвимость, мог получить привилегии SYSTEM.

Microsoft не предоставила дополнительных деталей об уязвимости. Также неизвестно, кто ее обнаружил.

• CVE-2024-38112 — уязвимость подмены Windows MSHTML

Microsoft исправила активно эксплуатируемую уязвимость подмены в Windows MSHTML.

Компания сообщает:

Успешная эксплуатация этой уязвимости требует от злоумышленника выполнения дополнительных действий перед эксплуатацией для подготовки целевой среды.

Злоумышленник должен отправить жертве вредоносный файл, который жертва должна будет выполнить.

Уязвимость обнаружена Check Point Research, дополнительную информацию об эксплуатации Microsoft не предоставила.

Исправлены две публично раскрытые уязвимости нулевого дня:

• CVE-2024-35264 — уязвимость удаленного выполнения кода в .NET и Visual Studio

Исправлена публично раскрытая уязвимость удаленного выполнения кода в .NET и Visual Studio.

В бюллетени по безопасности сообщается:

Злоумышленник может эксплуатировать уязвимость, закрыв http/3 поток, пока тело запроса обрабатывается, что приводит к состоянию гонки. Это может привести к удаленному выполнению кода.

Уязвимость обнаружена внутри компании.

• CVE-2024-37985 — систематическая идентификация и характеристика проприетарных префетчеров

Microsoft исправила ранее раскрытую атаку побочного канала «FetchBench», которая может использоваться для кражи «секретной информации»:

Злоумышленник, успешно проэксплуатировавший эту уязвимость, может просматривать память кучи привилегированного процесса, работающего на сервере

Успешная эксплуатация этой уязвимости требует от злоумышленника выполнения дополнительных действий перед эксплуатацией для подготовки целевой среды.

Обновления от других компаний

• Компания Adobe выпустила обновления безопасности для Premiere Pro, InDesign и Bridge.
• Cisco раскрыла уязвимость командной инъекции в NX-OS Software CLI, которая использовалась в реальных атаках.
• Citrix исправила ошибки в Windows Virtual Delivery Agent и приложении Citrix Workspace.
• Уязвимость удаленного выполнения кода (RCE) в GhostScript, исправленная в мае 2024 года, теперь эксплуатируется в атаках.
• Компания Fortinet исправила несколько уязвимостей в FortiOS и других продуктах.
• Организация Mozilla выпустила Firefox 128 с исправлениями нескольких уязвимостей.
• Компания OpenSSH исправила новую уязвимость удаленного выполнения кода (regreSSHion RCE). Накануне также была раскрыта еще одна аналогичная уязвимость CVE-2024-6409.
• VMware исправила уязвимость HTML-инъекции в Cloud Director.