38 CVEs resolvidos por meio do lançamento do Patch Tuesday de maio de 2023

Já é maio e todos estão olhando para a Microsoft, na esperança de que algumas das falhas com as quais lutam sejam finalmente corrigidas.

Já fornecemos o links de download direto para as atualizações cumulativas lançadas hoje para o Windows 10 e 11, mas agora é hora de falar novamente sobre vulnerabilidades e exposições críticas.

Este mês, a gigante da tecnologia de Redmond lançou 38 novos patches, muito menos do que algumas pessoas esperavam logo após a Páscoa.

Essas atualizações de software abordam CVEs em:

• Microsoft Windows e componentes do Windows
• .NET e Visual Studio
• Microsoft Edge (baseado em Chromium)
• Microsoft Exchange Server
• Escritório e componentes do Office
• Windows Hyper-V
• Métodos de Autenticação do Windows
• BitLocker
• Volume compartilhado do cluster do Windows (CSV)
• Cliente de Área de Trabalho Remota
• Sistema de arquivos de rede do Windows
• NTFS
• Protocolo de túnel ponto a ponto do Windows

Para maio, a Microsoft lançou apenas 38 novos patches, o que ainda é muito menos do que algumas pessoas esperavam para o quinto mês de 2023.

Um dos meses mais leves da Microsoft com apenas 38 atualizações

Não é o mês mais movimentado, mas também não é o mais leve para os especialistas em segurança da Microsoft, então podemos relaxar um pouco antes do verão.

Você pode gostar de saber que, dos 38 novos CVEs lançados, sete são classificados como Críticos e 31 são classificados como Importantes em gravidade.

Como muitos de vocês provavelmente já sabem, maio é sempre um mês menor para correções historicamente, mas o volume deste mês é o menor desde agosto de 2021.

Saiba que um dos novos CVEs está listado como sob ataque ativo e dois estão listados como conhecidos publicamente no momento do lançamento.

CVE	Título	Gravidade	CVSS	Público	explorado	Tipo
CVE-2023-29336	Vulnerabilidade de elevação de privilégio do Win32k	Importante	7.8	Não	Sim	EoP
CVE-2023-29325	Vulnerabilidade de execução remota de código OLE do Windows	Crítico	8.1	Sim	Não	RCE
CVE-2023-24932	Vulnerabilidade de desvio do recurso de segurança de inicialização segura	Importante	6.7	Sim	Não	SFB
CVE-2023-24955	Vulnerabilidade de execução remota de código do Microsoft SharePoint Server	Crítico	7.2	Não	Não	RCE
CVE-2023-28283	Vulnerabilidade de execução remota de código do Windows Lightweight Directory Access Protocol (LDAP)	Crítico	8.1	Não	Não	RCE
CVE-2023-29324	Vulnerabilidade de elevação de privilégio da plataforma Windows MSHTML	Crítico	7.5	Não	Não	EoP
CVE-2023-24941	Vulnerabilidade de execução remota de código do sistema de arquivos de rede do Windows	Crítico	9.8	Não	Não	RCE
CVE-2023-24943	Vulnerabilidade de execução de código remoto do Windows Pragmatic General Multicast (PGM)	Crítico	9.8	Não	Não	RCE
CVE-2023-24903	Vulnerabilidade de execução remota de código do Windows Secure Socket Tunneling Protocol (SSTP)	Crítico	8.1	Não	Não	RCE
CVE-2023-29340	Vulnerabilidade de execução remota de código da extensão de vídeo AV1	Importante	7.8	Não	Não	RCE
CVE-2023-29341	Vulnerabilidade de execução remota de código da extensão de vídeo AV1	Importante	7.8	Não	Não	RCE
CVE-2023-29333	Vulnerabilidade de negação de serviço do Microsoft Access	Importante	3.3	Não	Não	DoS
CVE-2023-29350	Vulnerabilidade de elevação de privilégio do Microsoft Edge (baseado em Chromium)	Importante	7.5	Não	Não	EoP
CVE-2023-24953	Vulnerabilidade de execução remota de código do Microsoft Excel	Importante	7.8	Não	Não	RCE
CVE-2023-29344	Vulnerabilidade de execução remota de código do Microsoft Office	Importante	7.8	Não	Não	RCE
CVE-2023-24954	Vulnerabilidade de divulgação de informações do Microsoft SharePoint Server	Importante	6.5	Não	Não	Informações
CVE-2023-24950	Vulnerabilidade de falsificação do Microsoft SharePoint Server	Importante	6.5	Não	Não	Falsificação
CVE-2023-24881	Vulnerabilidade de divulgação de informações do Microsoft Teams	Importante	6.5	Não	Não	Informações
CVE-2023-29335	Vulnerabilidade de desvio do recurso de segurança do Microsoft Word	Importante	7.5	Não	Não	SFB
CVE-2023-24905	Vulnerabilidade de execução remota de código do cliente de área de trabalho remota	Importante	7.8	Não	Não	RCE
CVE-2023-28290	Vulnerabilidade de divulgação de informações do cliente do protocolo de área de trabalho remota	Importante	5.5	Não	Não	Informações
CVE-2023-24942	Vulnerabilidade de negação de serviço em tempo de execução de chamada de procedimento remoto	Importante	7.5	Não	Não	DoS
CVE-2023-24939	Vulnerabilidade de negação de serviço do servidor para NFS	Importante	7.5	Não	Não	DoS
CVE-2023-29343	Vulnerabilidade de elevação de privilégio do SysInternals Sysmon para Windows	Importante	7.8	Não	Não	EoP
CVE-2023-29338	Vulnerabilidade de divulgação de informações de código do Visual Studio	Importante	5	Não	Não	Informações
CVE-2023-24902	Vulnerabilidade de elevação de privilégio do Win32k	Importante	7.8	Não	Não	EoP
CVE-2023-24946	Vulnerabilidade de elevação de privilégio do serviço de backup do Windows	Importante	7.8	Não	Não	EoP
CVE-2023-24948	Vulnerabilidade de elevação de privilégio do driver Bluetooth do Windows	Importante	7.4	Não	Não	EoP
CVE-2023-24944	Vulnerabilidade de divulgação de informações do driver Bluetooth do Windows	Importante	6.5	Não	Não	Informações
CVE-2023-24947	Vulnerabilidade de execução remota de código do driver Bluetooth do Windows	Importante	8.8	Não	Não	RCE
CVE-2023-28251	Vulnerabilidade de desvio do recurso de segurança da lista de revogação de driver do Windows	Importante	5.5	Não	Não	SFB
CVE-2023-24899	Vulnerabilidade de elevação de privilégio do componente gráfico do Windows	Importante	7	Não	Não	EoP
CVE-2023-24904	Vulnerabilidade de elevação de privilégio do Windows Installer	Importante	7.1	Não	Não	EoP
CVE-2023-24945	Vulnerabilidade de divulgação de informações do serviço de destino iSCSI do Windows	Importante	5.5	Não	Não	Informações
CVE-2023-24949	Vulnerabilidade de elevação de privilégio do kernel do Windows	Importante	7.8	Não	Não	EoP
CVE-2023-24901	Vulnerabilidade de divulgação de informações do Windows NFS Portmapper	Importante	7.5	Não	Não	Informações
CVE-2023-24900	Vulnerabilidade de divulgação de informações do provedor de suporte de segurança do Windows NTLM	Importante	5.9	Não	Não	Informações
CVE-2023-24940	Vulnerabilidade de negação de serviço do Windows Pragmatic General Multicast (PGM)	Importante	7.5	Não	Não	DoS
CVE-2023-24898	Vulnerabilidade de negação de serviço do Windows SMB	Importante	7.5	Não	Não	DoS
CVE-2023-29354	Vulnerabilidade de desvio do recurso de segurança do Microsoft Edge (baseado em Chromium)	Moderado	4.7	Não	Não	SFB
CVE-2023-2459 *	Chromium: CVE-2023-2459 Implementação inadequada em prompts	Médio	N / D	Não	Não	RCE
CVE-2023-2460 *	Chromium: CVE-2023-2460 Validação insuficiente de entrada não confiável em extensões	Médio	N / D	Não	Não	RCE
CVE-2023-2462 *	Chromium: CVE-2023-2462 Implementação inadequada em prompts	Médio	N / D	Não	Não	RCE
CVE-2023-2463 *	Chromium: CVE-2023-2463 Implementação inadequada no modo de tela inteira	Médio	N / D	Não	Não	RCE
CVE-2023-2464 *	Chromium: CVE-2023-2464 Implementação inadequada em PictureInPicture	Médio	N / D	Não	Não	RCE
CVE-2023-2465 *	Chromium: CVE-2023-2465 Implementação inadequada no CORS	Médio	N / D	Não	Não	RCE
CVE-2023-2466 *	Chromium: CVE-2023-2466 Implementação inadequada em prompts	Baixo	N / D	Não	Não	RCE
CVE-2023-2467 *	Chromium: CVE-2023-2467 Implementação inadequada em prompts	Baixo	N / D	Não	Não	RCE
CVE-2023-2468 *	Chromium: CVE-2023-2468 Implementação inadequada em PictureInPicture	Baixo	N / D	Não	Não	RCE

Vamos dar uma olhada mais de perto CVE-2023-29336, pois é o único bug listado como estando sob ataque ativo no momento do lançamento.

Portanto, como resultado, você deve voltar até maio do ano passado antes de encontrar um mês em que não houve pelo menos um bug da Microsoft sob ataque ativo.

Na verdade, esse tipo de escalonamento de privilégio geralmente é combinado com um bug de execução de código para espalhar malware, por isso recomendamos cautela.

Passando para CVE-2023-29325, aprendemos que, embora o título diga OLE quando se trata desse bug, o componente real com o qual se preocupar é o Outlook.

Observe que esta vulnerabilidade permite que um invasor execute seu código em um sistema afetado enviando um e-mail RTF especialmente criado.

O Painel de visualização é um vetor de ataque, portanto, um alvo nem precisa ler a mensagem criada e, embora o Outlook seja o vetor de exploração mais provável, outros aplicativos do Office também são afetados.

A Microsoft mencionou que este é um dos bugs conhecidos publicamente corrigidos este mês e foi amplamente discutido no Twitter.

CVE-2023-24941 recebeu um CVSS de 9.8 e permite que um invasor remoto e não autenticado execute código arbitrário em um sistema afetado com privilégios elevados.

E a pior parte é que nenhuma interação do usuário é necessária. Outra coisa interessante sobre esta vulnerabilidade é que existe no NFS versão 4.1, mas não nas versões NFSv2.0 ou NFSv3.0.

Tenha certeza de que você pode mitigar esse bug fazendo o downgrade para uma versão anterior, mas a Microsoft adverte que você não deve usar essa mitigação, a menos que tenha o CVE-2022-26937 patch de maio de 2022 instalado.

Observando os patches restantes com classificação crítica, há outro bug do CVSS 9.8 no Pragmatic General Multicast (PGM) que parece idêntico ao bug do PGM corrigido no mês passado.

É importante saber que isso pode indicar um patch com falha ou, mais provavelmente, uma ampla superfície de ataque no PGM que está apenas começando a ser explorada.

Há também patches para bugs com classificação crítica nos protocolos LDAP e SSTP e um bug intrigante no MSHTML que pode permitir que um invasor remoto escale para privilégios de administrador.

A gigante da tecnologia de Redmond não fornece detalhes aqui, mas observa que algum nível de privilégio é necessário.

O próximo lançamento do Patch Tuesday será em 10 de maio, então não fique muito confortável com o estado atual das coisas, pois pode mudar mais cedo do que você pensa.

Este artigo foi útil para você? Compartilhe sua opinião na seção de comentários abaixo.