38 CVE adresovaných prostredníctvom vydania opravného utorka z mája 2023

Už je máj a všetci sa pozerajú na Microsoft v nádeji, že niektoré z nedostatkov, s ktorými zápasili, budú konečne opravené.

Už sme poskytli priame odkazy na stiahnutie pre kumulatívne aktualizácie vydané dnes pre Windows 10 a 11, ale teraz je čas opäť hovoriť o kritických zraniteľnostiach a ohrozeniach.

Tento mesiac vydal technický gigant z Redmondu 38 nových záplat, čo je oveľa menej, ako niektorí ľudia tesne po Veľkej noci očakávali.

Tieto aktualizácie softvéru sa týkajú CVE v:

• Microsoft Windows a Windows komponenty
• .NET a Visual Studio
• Microsoft Edge (založené na prehliadači Chromium)
• Microsoft Exchange Server
• Kancelárske a kancelárske komponenty
• Windows Hyper-V
• Metódy overovania systému Windows
• BitLocker
• Windows Cluster Shared Volume (CSV)
• Klient vzdialenej plochy
• Sieťový súborový systém Windows
• NTFS
• Windows Point-to-Point Tunneling Protocol

V máji spoločnosť Microsoft vydala iba 38 nových opráv, čo je stále oveľa menej, ako niektorí ľudia očakávali pre piaty mesiac roku 2023.

Jeden z najľahších mesiacov spoločnosti Microsoft s iba 38 aktualizáciami

Nie je to najrušnejší, ale ani najľahší mesiac pre bezpečnostných expertov spoločnosti Microsoft, takže si pred letom môžeme trochu oddýchnuť.

Možno by ste chceli vedieť, že z 38 nových vydaných CVE je sedem hodnotených ako kritické a 31 ako dôležité z hľadiska závažnosti.

Ako už mnohí z vás pravdepodobne vedia, máj je historicky vždy menším mesiacom na opravy, no objem tohto mesiaca je najnižší od augusta 2021.

Vedzte, že jeden z nových CVE je uvedený ako pod aktívnym útokom a dva sú uvedené ako verejne známe v čase vydania.

CVE	Názov	Závažnosť	CVSS	Verejné	Využité	Typ
CVE-2023-29336	Chyba zabezpečenia zvýšenia úrovne privilégií Win32k	Dôležité	7.8	Nie	Áno	EoP
CVE-2023-29325	Chyba zabezpečenia vzdialeného spustenia kódu Windows OLE	Kritické	8.1	Áno	Nie	RCE
CVE-2023-24932	Funkcia zabezpečenia bezpečného spustenia obchádza chybu zabezpečenia	Dôležité	6.7	Áno	Nie	SFB
CVE-2023-24955	Chyba zabezpečenia vzdialeného spustenia kódu na serveri Microsoft SharePoint	Kritické	7.2	Nie	Nie	RCE
CVE-2023-28283	Chyba zabezpečenia vzdialeného spustenia kódu Windows Lightweight Directory Access Protocol (LDAP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-29324	Chyba zabezpečenia zvýšenia oprávnenia platformy Windows MSHTML	Kritické	7.5	Nie	Nie	EoP
CVE-2023-24941	Chyba zabezpečenia vzdialeného spustenia kódu v sieťovom súborovom systéme Windows	Kritické	9.8	Nie	Nie	RCE
CVE-2023-24943	Chyba zabezpečenia vzdialeného spustenia kódu systému Windows Pragmatic General Multicast (PGM).	Kritické	9.8	Nie	Nie	RCE
CVE-2023-24903	Chyba zabezpečenia vzdialeného spustenia kódu Windows Secure Socket Tunneling Protocol (SSTP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-29340	Chyba zabezpečenia vzdialeného spustenia kódu AV1 Video Extension	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-29341	Chyba zabezpečenia vzdialeného spustenia kódu AV1 Video Extension	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-29333	Chyba zabezpečenia Microsoft Access Denial of Service	Dôležité	3.3	Nie	Nie	DoS
CVE-2023-29350	Microsoft Edge (založené na prehliadači Chromium) Zvýšenie zraniteľnosti privilégií	Dôležité	7.5	Nie	Nie	EoP
CVE-2023-24953	Chyba zabezpečenia vzdialeného spustenia kódu programu Microsoft Excel	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-29344	Chyba zabezpečenia vzdialeného spustenia kódu balíka Microsoft Office	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-24954	Chyba zabezpečenia v sprístupnení informácií servera Microsoft SharePoint Server	Dôležité	6.5	Nie	Nie	Info
CVE-2023-24950	Chyba zabezpečenia spoofingu servera Microsoft SharePoint	Dôležité	6.5	Nie	Nie	Spoofing
CVE-2023-24881	Chyba zabezpečenia v sprístupnení informácií v tímoch spoločnosti Microsoft	Dôležité	6.5	Nie	Nie	Info
CVE-2023-29335	Funkcia zabezpečenia programu Microsoft Word obchádza chybu zabezpečenia	Dôležité	7.5	Nie	Nie	SFB
CVE-2023-24905	Klient vzdialenej pracovnej plochy Chyba pri spúšťaní vzdialeného kódu	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-28290	Chyba zabezpečenia pri sprístupnení informácií klienta protokolu vzdialenej pracovnej plochy	Dôležité	5.5	Nie	Nie	Info
CVE-2023-24942	Zraniteľnosť odmietnutia služby pri behu vzdialeného volania procedúry	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-24939	Server pre chybu zabezpečenia NFS Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-29343	SysInternals Sysmon pre Windows Elevation of Privilege Vulnerability	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-29338	Chyba zabezpečenia pri sprístupnení informácií kódu Visual Studio	Dôležité	5	Nie	Nie	Info
CVE-2023-24902	Chyba zabezpečenia zvýšenia úrovne privilégií Win32k	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-24946	Zraniteľnosť zvýšenia úrovne oprávnení služby Windows Backup Service	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-24948	Chyba zabezpečenia zvýšenia úrovne oprávnení ovládača Windows Bluetooth	Dôležité	7.4	Nie	Nie	EoP
CVE-2023-24944	Chyba zabezpečenia v sprístupnení informácií ovládača Bluetooth systému Windows	Dôležité	6.5	Nie	Nie	Info
CVE-2023-24947	Chyba zabezpečenia vzdialeného spustenia kódu Windows Bluetooth Driver	Dôležité	8.8	Nie	Nie	RCE
CVE-2023-28251	Zoznam odvolaných ovládačov systému Windows Obídenie zraniteľnosti bezpečnostnej funkcie	Dôležité	5.5	Nie	Nie	SFB
CVE-2023-24899	Chyba zabezpečenia zvýšenia oprávnenia grafického komponentu systému Windows	Dôležité	7	Nie	Nie	EoP
CVE-2023-24904	Zraniteľnosť zvýšenia oprávnenia Inštalátora systému Windows	Dôležité	7.1	Nie	Nie	EoP
CVE-2023-24945	Chyba zabezpečenia sprístupnenia informácií služby Windows iSCSI Target	Dôležité	5.5	Nie	Nie	Info
CVE-2023-24949	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-24901	Chyba zabezpečenia pri sprístupnení informácií mapovača portov systému Windows NFS	Dôležité	7.5	Nie	Nie	Info
CVE-2023-24900	Chyba zabezpečenia poskytovateľa technickej podpory zabezpečenia systému Windows NTLM	Dôležité	5.9	Nie	Nie	Info
CVE-2023-24940	Zraniteľnosť odmietnutia služby systému Windows Pragmatic General Multicast (PGM).	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-24898	Zraniteľnosť Windows SMB Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-29354	Funkcia zabezpečenia Microsoft Edge (založená na prehliadači Chromium) obchádza chybu zabezpečenia	Mierne	4.7	Nie	Nie	SFB
CVE-2023-2459 *	Chromium: CVE-2023-2459 Nevhodná implementácia vo výzvach	Stredná	N/A	Nie	Nie	RCE
CVE-2023-2460 *	Chromium: CVE-2023-2460 Nedostatočné overenie nedôveryhodného vstupu v rozšíreniach	Stredná	N/A	Nie	Nie	RCE
CVE-2023-2462 *	Chromium: CVE-2023-2462 Nevhodná implementácia vo výzvach	Stredná	N/A	Nie	Nie	RCE
CVE-2023-2463 *	Chromium: CVE-2023-2463 Nevhodná implementácia v režime celej obrazovky	Stredná	N/A	Nie	Nie	RCE
CVE-2023-2464 *	Chromium: CVE-2023-2464 Nevhodná implementácia v PictureInPicture	Stredná	N/A	Nie	Nie	RCE
CVE-2023-2465 *	Chromium: CVE-2023-2465 Nevhodná implementácia v CORS	Stredná	N/A	Nie	Nie	RCE
CVE-2023-2466 *	Chromium: CVE-2023-2466 Nevhodná implementácia vo výzvach	Nízka	N/A	Nie	Nie	RCE
CVE-2023-2467 *	Chromium: CVE-2023-2467 Nevhodná implementácia vo výzvach	Nízka	N/A	Nie	Nie	RCE
CVE-2023-2468 *	Chromium: CVE-2023-2468 Nevhodná implementácia v PictureInPicture	Nízka	N/A	Nie	Nie	RCE

Pozrime sa na to bližšie CVE-2023-29336, pretože je to jediná chyba uvedená ako pod aktívnym útokom v čase vydania.

V dôsledku toho sa musíte vrátiť až do mája minulého roka, kým nájdete mesiac, v ktorom sa nevyskytla aspoň jedna chyba spoločnosti Microsoft pod aktívnym útokom.

V skutočnosti je tento typ eskalácie privilégií zvyčajne kombinovaný s chybou pri spúšťaní kódu na šírenie škodlivého softvéru, preto odporúčame opatrnosť.

Prechod na CVE-2023-29325, dozvedáme sa, že zatiaľ čo názov hovorí OLE, pokiaľ ide o túto chybu, skutočným komponentom, ktorého sa treba obávať, je Outlook.

Upozorňujeme, že táto chyba zabezpečenia umožňuje útočníkovi spustiť svoj kód na postihnutom systéme odoslaním špeciálne vytvoreného e-mailu RTF.

The Panel ukážky je vektor útoku, takže cieľ ani nemusí čítať vytvorenú správu, a hoci je Outlook pravdepodobnejším vektorom zneužitia, sú ovplyvnené aj iné aplikácie balíka Office.

Microsoft spomenul, že ide o jednu z verejne známych chýb opravených tento mesiac a bola široko diskutovaná na Twitteri.

CVE-2023-24941 dostal CVSS 9.8 a umožňuje vzdialenému, neoverenému útočníkovi spustiť ľubovoľný kód na postihnutom systéme so zvýšenými oprávneniami.

A najhoršie na tom je, že nie je potrebná žiadna interakcia používateľa. Ďalšou zaujímavosťou tejto zraniteľnosti je, že existuje vo verzii NFS 4.1, ale nie vo verziách NFSv2.0 alebo NFSv3.0.

Uisťujeme vás, že túto chybu môžete zmierniť prechodom na predchádzajúcu verziu, ale spoločnosť Microsoft varuje, že toto zmiernenie by ste nemali používať, pokiaľ nemáte CVE-2022-26937 nainštalovaný patch z mája 2022.

Pri sledovaní zostávajúcich záplat s kritickým hodnotením je tu ďalšia chyba CVSS 9.8 v Pragmatic General Multicast (PGM), ktorá vyzerá identicky s chybou PGM opravenou minulý mesiac.

Je dôležité vedieť, že by to mohlo naznačovať neúspešnú opravu alebo, čo je pravdepodobnejšie, široký útočný povrch v PGM, ktorý sa práve začína skúmať.

Existujú aj záplaty pre kriticky hodnotené chyby v protokoloch LDAP a SSTP a zaujímavá chyba v MSHTML, ktorá by mohla umožniť vzdialenému útočníkovi eskalovať na oprávnenia správcu.

Technologický gigant v Redmonde tu neuvádza podrobnosti, ale poznamenáva, že je potrebná určitá úroveň privilégií.

Ďalšie vydanie opravy Patch Tuesday bude 10. mája, takže sa príliš netrápte súčasným stavom vecí, pretože sa môže zmeniť skôr, ako si myslíte.

Bol pre vás tento článok užitočný? Podeľte sa o svoj názor v sekcii komentárov nižšie.