Microsoft выпускает исправление для двух новых активно используемых недостатков нулевых дней

[Carding]

Корпорация Майкрософт выпустила исправления программного обеспечения для устранения 59 ошибок, охватывающих ее портфель продуктов, включая два недостатка нулевого дня, которые активно использовались злоумышленниками в киберпространстве.

Из 59 уязвимостей пять оценены как критические, 55 - как важные и одна - как средней степени тяжести. Обновление дополняет 35 недостатков, исправленных в браузере Edge на базе Chromium с момента выпуска во вторник в прошлом месяце, которое также включает исправление для CVE-2023-4863, критической ошибки переполнения буфера кучи в формате изображений WebP.

Ниже перечислены две уязвимости Microsoft, которые активно использовались в реальных атаках -

• CVE-2023-36761 (оценка CVSS: 6.2) - Уязвимость в раскрытии информации Microsoft Word
• CVE-2023-36802 (оценка CVSS: 7,8) - Уязвимость для повышения привилегий прокси-сервера потоковой службы Microsoft

"Использование этой уязвимости может привести к раскрытию хэшей NTLM", - говорится в сообщении производителя Windows о CVE-2023-36761, в котором указывается, что злоумышленник может злоупотреблять CVE-2023-36802 для получения системных привилегий.

Точные детали, касающиеся характера использования или личности участников угрозы, стоящих за атаками, в настоящее время неизвестны.

"Использование [CVE-2023-36761] не ограничивается только потенциальной целью, открывающей вредоносный документ Word, поскольку простой предварительный просмотр файла может привести к срабатыванию эксплойта", - сказал Сатнам Наранг, старший инженер-исследователь Tenable. Эксплуатация позволит раскрыть хэши новой технологии LAN Manager (NTLM) ".

"Первой была уязвимость CVE-2023-23397, связанная с повышением привилегий в Microsoft Outlook, которая была раскрыта во вторник в выпуске мартовского исправления".

Среди других уязвимостей следует отметить несколько ошибок удаленного выполнения кода, влияющих на общий доступ к подключению к Интернету (ICS), Visual Studio, 3D Builder, Azure DevOps Server, Windows MSHTML и Microsoft Exchange Server, а также проблемы с повышением привилегий в ядре Windows, Windows GDI, драйвере файловой системы Windows Common Log и Office, среди прочих.

Исправления программного обеспечения от других поставщиков​

За последние несколько недель другими поставщиками, помимо Microsoft, были выпущены обновления для системы безопасности, устраняющие несколько уязвимостей, в том числе -

• Adobe
• Android
• Проекты Apache
• Apple
• Aruba Networks
• ASUS
• Cisco
• Citrix
• Dell
• Drupal
• F5
• GitLab
• Google Chrome
• Hitachi Energy
• HP
• IBM
• Дженкинс
• Juniper Networks
• Lenovo
• Дистрибутивы Linux Debian, Oracle Linux, Red Hat, SUSE и Ubuntu
• MediaTek
• Mitsubishi Electric
• Mozilla Firefox, Firefox ESR и Thunderbird
• NETGEAR
• Notepad ++
• NVIDIA
• Qualcomm
• Samsung
• SAP
• Schneider Electric
• Siemens
• SolarWinds
• Splunk
• Spring Framework
• Synology
• TP-Link
• Trend Micro
• Veeam
• VMware
• Zimbra и
• Zoom