Microsoft hefur gefið út mánaðarlegar uppfærslur tengdar Microsoft Patch Tuesday. Í heildina eru gefnar út að þessu sinni uppfærslur vegna 78 veikleika, og eru 6 þeirra merktir sem mjög alvarlegir (e. critical) [1]. Engir veikleikar eru flokkaðir sem nýveilur (e. zero day) en nokkrir veikleikar eru merktir sem líklegir til misnotkunar (e. more likely to be exploited) [1,2]. CERT-IS mælir með að uppfæra án tafa og fara eftir ráðleggingum frá Microsoft. Mikilvægt er að lesa yfir leiðbeiningar frá Microsoft til að koma í veg fyrir að uppfærslur valdi truflunum.
Alvarlegir veikleikar (e. critical)
Microsoft Sharepoint Server
Veikleikinn CVE-2023-29357 með CVSSv3 skor uppá 9.8 gerir óauðkenndum ógnaraðila á sama neti (e. on the same network) kleift að öðlast kerfisstjóraréttindi (e. Administrator) með því að falsa auðkennistóka (e. JWT token) [3].
Windows Pragmatic General Multicast (PGM)
Veikleikarnir CVE-2023-32015, CVE-2023-32014 og CVE-2023-29363 með CVSSv3 skor uppá 9.8 gerir ógnaraðila kleift að keyra upp spillikóða [4,5,6]. Til að hægt sé að misnota veikleikana þarf Windows Message Queueing þjónustan að vera keyrandi í umhverfinu. Sú þjónusta er að öllu jöfnu ekki virk en ákveðnar þjónustur eins og til dæmis Microsoft Exchange virkja þjónustuna sjálfkrafa.
Microsoft Exchange
Veikleikarnir CVE-2023-32031 og CVE-2023-28310 með CVSSv3 skor uppá 8.8 og 8.0 gerir ógnaraðila fært að keyra kóða í gegnum Powershell [7,8]. Microsoft metur þessa veikleika líklega til að vera misnotaðir í náinni framtíð.
.NET og Visual Studio
Veikleikinn CVE-2023-24897 með CVSSv3 skor uppá 7.8 gerir ógnaraðila fært að keyra kóða með því að sannfæra endanotanda um að opna skrá í gegnum Powershell [9]. Lýsing á veikleikanum hjá Microsoft gæti gefið til kynna að ógnaraðili geti keyrt kóða yfir netið (e. remote code injection) en sú lýsing á við staðsetningu ógnaraðila, ekki hvaðan uppruni keyrslunnar á sér stað.
Tilvísanir
[1] https://msrc.microsoft.com/update-guide/en-us
[2] https://www.bleepingcomputer.com/news/microsoft/microsoft-june-2023-patch-tuesday-fixes-78-flaws-38-rce-bugs/
[3] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29357
[4] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32015
[5] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32014
[6] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29363
[7] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-32031
[8] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-28310
[9] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24897
