38 CVE rozwiązanych w ramach wtorkowego wydania aktualizacji z maja 2023 r

Jest już maj i wszyscy patrzą w stronę Microsoftu, mając nadzieję, że niektóre z wad, z którymi się borykają, zostaną w końcu naprawione.

Podaliśmy już bezpośrednie linki do pobrania dla zbiorczych aktualizacji wydanych dzisiaj dla Windows 10 i 11, ale teraz nadszedł czas, aby ponownie porozmawiać o krytycznych lukach w zabezpieczeniach i zagrożeniach.

W tym miesiącu gigant technologiczny z Redmond wypuścił 38 nowych łatek, czyli dużo mniej, niż niektórzy spodziewali się zaraz po Wielkanocy.

Te aktualizacje oprogramowania dotyczą CVE w:

• Microsoft Windows i składniki Windows
• .NET i Visual Studio
• Microsoft Edge (oparty na Chromium)
• Serwer Microsoft Exchange
• Pakiet Office i składniki pakietu Office
• Windows Hyper-V
• Metody uwierzytelniania systemu Windows
• Funkcja BitLocker
• Udostępniony wolumin klastra systemu Windows (CSV)
• Klient pulpitu zdalnego
• Sieciowy system plików Windows
• NTFS
• Protokół tunelowania punkt-punkt systemu Windows

W maju Microsoft wydał tylko 38 nowych łatek, czyli wciąż dużo mniej niż niektórzy oczekiwali na piąty miesiąc 2023 roku.

Jeden z najlżejszych miesięcy Microsoftu z zaledwie 38 aktualizacjami

Nie jest to najbardziej pracowity, ale też nie najlżejszy miesiąc dla ekspertów ds. bezpieczeństwa Microsoftu, więc możemy trochę odpocząć tuż przed latem.

Być może zainteresuje Cię informacja, że ​​spośród 38 opublikowanych nowych CVE siedem ma ocenę krytyczną, a 31 – ważną pod względem ważności.

Jak wielu z was zapewne już wie, maj jest historycznie mniejszym miesiącem na poprawki, ale w tym miesiącu wolumen jest najniższy od sierpnia 2021 r.

Wiedz, że jeden z nowych CVE jest wymieniony jako aktywny atak, a dwa są wymienione jako publicznie znane w momencie wydania.

CVE	Tytuł	Powaga	CVSS	Publiczny	Eksploatowany	Typ
CVE-2023-29336	Luka w zabezpieczeniach Win32k związana z podniesieniem uprawnień	Ważny	7.8	NIE	Tak	EoP
CVE-2023-29325	Luka w zabezpieczeniach systemu Windows OLE umożliwiająca zdalne wykonanie kodu	Krytyczny	8.1	Tak	NIE	RCE
CVE-2023-24932	Funkcja zabezpieczeń bezpiecznego rozruchu umożliwiająca obejście luki w zabezpieczeniach	Ważny	6.7	Tak	NIE	SFB
CVE-2023-24955	Luka w zabezpieczeniach programu Microsoft SharePoint Server umożliwiająca zdalne wykonanie kodu	Krytyczny	7.2	NIE	NIE	RCE
CVE-2023-28283	Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu systemu Windows Lightweight Directory Access Protocol (LDAP).	Krytyczny	8.1	NIE	NIE	RCE
CVE-2023-29324	Luka w zabezpieczeniach platformy Windows MSHTML związana z podniesieniem uprawnień	Krytyczny	7.5	NIE	NIE	EoP
CVE-2023-24941	Luka w zabezpieczeniach sieciowego systemu plików Windows umożliwiająca zdalne wykonanie kodu	Krytyczny	9.8	NIE	NIE	RCE
CVE-2023-24943	Luka w zabezpieczeniach systemu Windows Pragmatic General Multicast (PGM) umożliwiająca zdalne wykonanie kodu	Krytyczny	9.8	NIE	NIE	RCE
CVE-2023-24903	Luka w zabezpieczeniach protokołu Windows Secure Socket Tunneling Protocol (SSTP) umożliwiająca zdalne wykonanie kodu	Krytyczny	8.1	NIE	NIE	RCE
CVE-2023-29340	Rozszerzenie wideo AV1 Luka umożliwiająca zdalne wykonanie kodu	Ważny	7.8	NIE	NIE	RCE
CVE-2023-29341	Rozszerzenie wideo AV1 Luka umożliwiająca zdalne wykonanie kodu	Ważny	7.8	NIE	NIE	RCE
CVE-2023-29333	Luka w zabezpieczeniach programu Microsoft Access związana z odmową usługi	Ważny	3.3	NIE	NIE	DoS
CVE-2023-29350	Luka w zabezpieczeniach Microsoft Edge (oparta na Chromium) umożliwiająca podniesienie uprawnień	Ważny	7.5	NIE	NIE	EoP
CVE-2023-24953	Luka w zabezpieczeniach programu Microsoft Excel umożliwiająca zdalne wykonanie kodu	Ważny	7.8	NIE	NIE	RCE
CVE-2023-29344	Luka w zabezpieczeniach pakietu Microsoft Office umożliwiająca zdalne wykonanie kodu	Ważny	7.8	NIE	NIE	RCE
CVE-2023-24954	Luka w zabezpieczeniach programu Microsoft SharePoint Server umożliwiająca ujawnienie informacji	Ważny	6.5	NIE	NIE	Informacje
CVE-2023-24950	Luka w zabezpieczeniach programu Microsoft SharePoint Server związana z fałszowaniem	Ważny	6.5	NIE	NIE	Fałszowanie
CVE-2023-24881	Luka w zabezpieczeniach usługi Microsoft Teams umożliwiająca ujawnienie informacji	Ważny	6.5	NIE	NIE	Informacje
CVE-2023-29335	Luka w zabezpieczeniach programu Microsoft Word związana z obejściem	Ważny	7.5	NIE	NIE	SFB
CVE-2023-24905	Luka w zabezpieczeniach klienta usług pulpitu zdalnego umożliwiająca zdalne wykonanie kodu	Ważny	7.8	NIE	NIE	RCE
CVE-2023-28290	Luka w zabezpieczeniach protokołu pulpitu zdalnego umożliwiająca ujawnienie informacji o kliencie	Ważny	5.5	NIE	NIE	Informacje
CVE-2023-24942	Luka w zabezpieczeniach środowiska wykonawczego zdalnego wywołania procedury powodująca odmowę usługi	Ważny	7.5	NIE	NIE	DoS
CVE-2023-24939	Serwer pod kątem luki w zabezpieczeniach NFS związanej z odmową usługi	Ważny	7.5	NIE	NIE	DoS
CVE-2023-29343	SysInternals Luka w zabezpieczeniach systemu Windows związana z podniesieniem uprawnień	Ważny	7.8	NIE	NIE	EoP
CVE-2023-29338	Luka w zabezpieczeniach kodu programu Visual Studio umożliwiająca ujawnienie informacji	Ważny	5	NIE	NIE	Informacje
CVE-2023-24902	Luka w zabezpieczeniach Win32k związana z podniesieniem uprawnień	Ważny	7.8	NIE	NIE	EoP
CVE-2023-24946	Luka w zabezpieczeniach usługi kopii zapasowej systemu Windows umożliwiająca podniesienie uprawnień	Ważny	7.8	NIE	NIE	EoP
CVE-2023-24948	Luka w zabezpieczeniach sterownika Bluetooth systemu Windows umożliwiająca podniesienie uprawnień	Ważny	7.4	NIE	NIE	EoP
CVE-2023-24944	Luka w zabezpieczeniach umożliwiająca ujawnienie informacji o sterowniku Bluetooth w systemie Windows	Ważny	6.5	NIE	NIE	Informacje
CVE-2023-24947	Luka w zabezpieczeniach sterownika Bluetooth systemu Windows umożliwiająca zdalne wykonanie kodu	Ważny	8.8	NIE	NIE	RCE
CVE-2023-28251	Luka w zabezpieczeniach funkcji obejścia listy odwołań sterowników systemu Windows	Ważny	5.5	NIE	NIE	SFB
CVE-2023-24899	Luka w zabezpieczeniach składnika grafiki systemu Windows umożliwiająca podniesienie uprawnień	Ważny	7	NIE	NIE	EoP
CVE-2023-24904	Luka w zabezpieczeniach Instalatora Windows związana z podniesieniem uprawnień	Ważny	7.1	NIE	NIE	EoP
CVE-2023-24945	Luka w zabezpieczeniach Windows iSCSI Target Service związana z ujawnieniem informacji	Ważny	5.5	NIE	NIE	Informacje
CVE-2023-24949	Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień	Ważny	7.8	NIE	NIE	EoP
CVE-2023-24901	Luka w zabezpieczeniach Windows NFS Portmapper umożliwiająca ujawnienie informacji	Ważny	7.5	NIE	NIE	Informacje
CVE-2023-24900	Luka w zabezpieczeniach dostawcy obsługi zabezpieczeń NTLM systemu Windows umożliwiająca ujawnienie informacji	Ważny	5.9	NIE	NIE	Informacje
CVE-2023-24940	Luka w zabezpieczeniach systemu Windows Pragmatic General Multicast (PGM) związana z odmową usługi	Ważny	7.5	NIE	NIE	DoS
CVE-2023-24898	Luka w zabezpieczeniach Windows SMB związana z odmową usługi	Ważny	7.5	NIE	NIE	DoS
CVE-2023-29354	Luka w zabezpieczeniach Microsoft Edge (oparta na Chromium) związana z obejściem funkcji zabezpieczeń	Umiarkowany	4.7	NIE	NIE	SFB
CVE-2023-2459 *	Chromium: CVE-2023-2459 Niewłaściwa implementacja w monitach	Średni	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2460 *	Chromium: CVE-2023-2460 Niewystarczająca weryfikacja niezaufanych danych wejściowych w rozszerzeniach	Średni	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2462 *	Chromium: CVE-2023-2462 Niewłaściwa implementacja w monitach	Średni	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2463 *	Chromium: CVE-2023-2463 Niewłaściwa implementacja w trybie pełnego ekranu	Średni	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2464 *	Chromium: CVE-2023-2464 Niewłaściwa implementacja w PictureInPicture	Średni	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2465 *	Chromium: CVE-2023-2465 Niewłaściwa implementacja w CORS	Średni	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2466 *	Chromium: CVE-2023-2466 Niewłaściwa implementacja w monitach	Niski	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2467 *	Chromium: CVE-2023-2467 Niewłaściwa implementacja w monitach	Niski	Nie dotyczy	NIE	NIE	RCE
CVE-2023-2468 *	Chromium: CVE-2023-2468 Niewłaściwa implementacja w PictureInPicture	Niski	Nie dotyczy	NIE	NIE	RCE

Przyjrzyjmy się bliżej CVE-2023-29336, ponieważ jest to jedyny błąd wymieniony jako aktywny atak w momencie wydania.

W rezultacie musisz cofnąć się aż do maja zeszłego roku, zanim znajdziesz miesiąc, w którym nie było co najmniej jednego błędu Microsoftu, który był aktywnie atakowany.

W rzeczywistości ten rodzaj eskalacji uprawnień jest zwykle łączony z błędem wykonania kodu w celu rozprzestrzeniania złośliwego oprogramowania, dlatego zalecamy ostrożność.

Przejść do CVE-2023-29325, dowiadujemy się, że chociaż tytuł mówi OLE, jeśli chodzi o ten błąd, prawdziwym komponentem, o który należy się martwić, jest Outlook.

Należy pamiętać, że ta luka umożliwia osobie atakującej wykonanie kodu w systemie podlegającym usterce przez wysłanie specjalnie spreparowanej wiadomości e-mail w formacie RTF.

The Okienko podglądu jest wektorem ataku, więc cel nie musi nawet czytać spreparowanej wiadomości, a chociaż Outlook jest bardziej prawdopodobnym wektorem exploitów, ma to również wpływ na inne aplikacje pakietu Office.

Microsoft wspomniał, że jest to jeden z publicznie znanych błędów załatanych w tym miesiącu i był szeroko dyskutowany na Twitterze.

CVE-2023-24941 otrzymał CVSS 9,8 i umożliwia zdalnemu, nieuwierzytelnionemu atakującemu uruchomienie dowolnego kodu w systemie, którego dotyczy problem, z podwyższonymi uprawnieniami.

A najgorsze jest to, że nie jest wymagana żadna interakcja użytkownika. Inną interesującą rzeczą związaną z tą luką jest to, że występuje ona w NFS w wersji 4.1, ale nie w wersjach NFSv2.0 ani NFSv3.0.

Zapewniamy, że możesz złagodzić ten błąd, przechodząc na poprzednią wersję, ale Microsoft ostrzega, że ​​nie powinieneś używać tego łagodzenia, chyba że masz CVE-2022-26937 zainstalowana łatka z maja 2022.

Obserwując pozostałe łatki z oceną krytyczną, jest kolejny błąd CVSS 9.8 w Pragmatic General Multicast (PGM), który wygląda identycznie jak błąd PGM załatany w zeszłym miesiącu.

Ważne jest, aby wiedzieć, że może to oznaczać nieudaną aktualizację lub, co bardziej prawdopodobne, szeroką powierzchnię ataku w PGM, która dopiero zaczyna być eksplorowana.

Dostępne są również łatki na krytyczne błędy w protokołach LDAP i SSTP oraz intrygujący błąd w MSHTML, który może umożliwić zdalnemu atakującemu uzyskanie uprawnień administratora.

Gigant technologiczny z Redmond nie podaje tutaj szczegółów, ale zauważa, że ​​wymagany jest pewien poziom uprawnień.

Kolejna aktualizacja Patch Tuesday odbędzie się 10 maja, więc nie przejmuj się obecnym stanem rzeczy, ponieważ może się on zmienić szybciej, niż myślisz.

Czy ten artykuł był dla Ciebie pomocny? Podziel się swoją opinią w sekcji komentarzy poniżej.