Вторник патчей, 10 сентября 2024: Microsoft исправила 79 проблем безопасности, в том числе 4 уязвимости «нулевого дня»

Всего исправлено семь критических проблем безопасности, среди которых уязвимости удаленного выполнения кода и повышения привилегий.

Классификация уязвимостей по типу:

• 30 уязвимостей повышения привилегий
• 4 уязвимости обхода функций безопасности
• 23 уязвимости удаленного выполнения кода
• 11 уязвимостей раскрытия информации
• 8 уязвимостей отказа в обслуживании
• 3 уязвимости спуфинга

Для установки доступны следующие обновления:

Windows

Windows Server

• Обновление KB5043080 (Build 26100.1742) для Windows Server 2025
• Обновление KB5043080 (Build 26100.1742) для Windows Server, версия 24H2
• Обновление KB5043055 (Build 25398.1128) для Windows Server, версия 23H2
• Обновление KB5042881 (Build 20348.2700) для Windows Server 2022
• Обновление KB5043050 (Build 17763.6293) для Windows Server 2019
• Обновление KB5043051 (Build 14393.7336) для Windows Server 2016

Четыре уязвимости «нулевого дня»

В этот «Вторник Патчей» исправлено четыре активно эксплуатируемые уязвимости нулевого дня, одна из которых была публично раскрыта.

Microsoft классифицирует уязвимость как уязвимость нулевого дня, если она публично раскрыта или активно эксплуатируется без официального исправления.

Четыре активно эксплуатируемые уязвимости нулевого дня включают:

• CVE-2024-38014 — уязвимость повышения привилегий в установщике Windows

Уязвимость позволяет злоумышленникам получить привилегии SYSTEM на системах Windows. Microsoft не сообщает подробности эксплуатации уязвимости.

• CVE-2024-38217 — уязвимость обхода средств безопасности Windows Mark of the Web

Уязвимость была публично раскрыта в прошлом месяце и, предположительно, эксплуатировалась с 2018 года.

Исследователь из из Elastic Security описал технику под названием LNK stomping, которая позволяет специальным файлам LNK с нестандартными путями к целям или внутренними структурами обходить предупреждения Smart App Control и Mark of the Web. При эксплуатации команды, записанные в файле LNK, выполняются без предупреждения.

В бюллетени безопасности Microsoft сообщает:

Злоумышленник может создать вредоносный файл, который обойдет защиту Mark of the Web (MOTW), что приведет к потере целостности и доступности таких функций безопасности, как проверка репутации приложений SmartScreen и предупреждения служб приложений Windows.

• CVE-2024-38226 — уязвимость обхода средств безопасности в Microsoft Publisher

Microsoft исправила уязвимость в Publisher, позволяющую обходить защиту от встроенных макросов в загруженных документах.

В бюллетени безопасности сообщается:

Злоумышленник, успешно эксплуатирующий эту уязвимость, может обойти политики макросов Office, используемые для блокировки ненадежных или вредоносных файлов.

• CVE-2024-43491 — уязвимость удаленного выполнения кода в Windows Update

Microsoft исправила уязвимость в стеке обслуживания, позволяющую осуществлять удаленное выполнение кода.

Microsoft сообщает:

Нам известно о наличии уязвимости в стеке обслуживания, которая отменила исправления некоторых уязвимостей, затрагивающих необязательные компоненты в Windows 10, версия 1507 (первая версия, выпущенная в июле 2015 года).

Таким образом, злоумышленник мог эксплуатировать ранее исправленные уязвимости в системах Windows 10, версия 1507 (Windows 10 Enterprise 2015 LTSB и Windows 10 IoT Enterprise 2015 LTSB), на которых установлено обновление безопасности Windows от 12 марта 2024 года — KB5035858 (Build 10240.20526) или другие обновления, выпущенные до августа 2024 года. Все более поздние версии Windows 10 не подвержены этой уязвимости.

Эта уязвимость затрагивает только Windows 10, версия 1507, которая перестала поддерживаться в 2017 году. Однако она также влияет на редакции Windows 10 Enterprise 2015 LTSB и Windows 10 IoT Enterprise 2015 LTSB, которые по-прежнему поддерживаются.

Эта уязвимость интересна тем, что она привела к откату необязательных компонентов, таких как Active Directory Lightweight Directory Services, XPS Viewer, Internet Explorer 11, служба печати LPD, IIS и Windows Media Player, к их оригинальным версиям RTM. Это позволило снова ввести ранее исправленные уязвимости, которые могли быть проэксплуатированы злоумышленниками.

Обновления от других компаний

• Компания Apache исправила критическую уязвимость удаленного выполнения кода в OFBiz, которая обходила ранее исправленные ошибки.
• Компания Cisco исправила несколько уязвимостей, в том числе уязвимость учетной записи администратора с бэкдором в Smart Licensing Utility и уязвимость инъекции команд в ISE.
• Атака Eucleak позволяет извлечь секретные ключи ECDSA для клонирования устройств YubiKey FIDO.
• Компания Fortinet выпустила обновления безопасности для уязвимостей в Fortisandbox, FortiAnalyzer и FortiManager.
• Google выпустил исправление для уязвимости повышения привилегий в Pixel, которая активно эксплуатировалась, и перенесла это исправление на другие устройства Android.
• Ivanti выпустила обновления безопасности для критической уязвимости обхода аутентификации в vTM с публичным эксплойтом.
• Плагин LiteSpeed Cache для Wordpress исправил проблему перехвата учетной записи без аутентификации.
• Уязвимость контроля доступа SonicWall, исправленная в прошлом месяце, теперь эксплуатируется в атаках с применением программ-вымогателей.
• Компания Veeam устранила критическую уязвимость удаленного выполнения кода в ПО Backup & Replication.
• Компания Zyxel предупредила о критической уязвимости инъекции команд ОС в своих маршрутизаторах.