Microsoft hefur gefið út mánaðarlegar uppfærslur tengdar Microsoft Patch Tuesday. ð þessu sinni eru gefnar út uppfærslur vegna 49 veikleika í heildina, og eru 3 þeirra merktir sem mjög alvarlegir (e. critical) [1]. Ekki er vitað til þess að búið sé að mistnota veikleikana. CERT-IS mælir með að uppfæra án tafa og fara eftir ráðleggingum frá Microsoft. Mikilvægt er að lesa yfir leiðbeiningar frá Microsoft til að koma í veg fyrir að uppfærslur valdi truflunum.
Alvarlegir veikleikar (e. critical)
CVE-2024-20674 – Kerberos
Veikleikinn CVE-2024-20674 er með CVSSv3 veikleikastig upp á 9.0 gerir auðkenndum ógnaraðila kleift að senda sérútbúin Kerberos skilaboð á vél notandans og þar með senda allar Kerberos auðkenningar á sinn þjón (e. spoof itself as the Kerberos authentication server). Til þess að misnota veikleikann þarf ógnaraðili að vera með aðgang að takmörkuðu neti notandans (e. restricted network) [2].
CVE-2024-20700 – Hyper-V
Veikleikinn CVE-2024-20700 með CVSSv3 veikleikastig uppá 7.5 gerir ógnaraðila kleift að fjarkeyra kóða á vél notandans (e. Remote code execution). Til þess að mistnota veikleikann þarf ógnaraðili að vera með aðgang að takmörkuðu neti notandans (e. restricted network) [3]
CVE-2024-20677 – Office
Veikleikinn CVE-2024-20677 með CVSSv3 skor uppá 7.8 gerir ógnaraðila kleift að senda sérútbúið Office skjal sem inniheldur FBX 3D model skjal sem fjarkeyrir kóða ef það er opnað.
Tilvísanir:
[1] https://msrc.microsoft.com/update-guide/en-us
[2] https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-20674
[3] https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-20700
[4] https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2024-20677
