Microsoft hefur gefið út mánaðarlegar uppfærslur tengdar Microsoft Patch Tuesday. Að þessu sinni eru gefnar út uppfærslur vegna 73 veikleika í heildina, og eru 6 þeirra merktir sem mjög alvarlegir (e. critical) [1]. Tveir veikleikar hafa nú þegar verið nýttir af ógnaraðilum [2]. CERT-IS mælir með að uppfæra án tafa og fara eftir ráðleggingum frá Microsoft. Mikilvægt er að lesa yfir leiðbeiningar frá Microsoft til að koma í veg fyrir að uppfærslur valdi truflunum.
Veikleikar nú þegar nýttir af ógnaraðilum (0-day)
Microsoft Office
Veikleikinn CVE-2023-36884 með CVSSv3 veikleikastig upp á 8.8 var hluti af júlí bótadegi. Microsoft gaf út leiðbeiningar um mótvægisaðgerðir þegar fyrst var upplýst um veikleikann en hefur nú gefið út uppfærslu. Veikleikinn gerir ógnaraðila kleift að fjarkeyra kóða (e. remote code execution).
.NET og Visual Studio
Veikleikinn CVE-2023-38180 með CVSSv3 veikleikastig upp á 7.5 gerir ógnaraðila kleift að framkvæma álagsárásir (e. Denial of service) á .NET kerfi og Visual Studio.
Alvarlegir veikleikar (e. critical)
Microsoft Office Outlook
Veikleikinn CVE-2023-36895 með CVSSv3 veikleikastig upp á 7.8 gerir ógnaraðila kleift að fjarkeyra kóða (e. remote code execution).
Microsoft Teams
Veikleikarnir CVE-2023-29328 og CVE-2023-29330 eru með CVSSv3 veikleikastig upp á 8.8 gera ógnaraðila kleift að fjarkeyra kóða (e. remote code execution) sem getur orðið til þess að ógnaraðili fái upplýsingar um notandann og geti breytt þeim. Misnotkun á veikleikanum getur einnig valdið niðritíma hjá notandanum. Ógnaraðili þarf að sannfæra fórnarlambið til þess að mæta á Teams fund svo hægt sé að misnota veikleikann.
Microsoft Message Queuing
Veikleikarnir CVE-2023-35385 og CVE-2023-36911 eru með CVSSv3 veikleikastig upp á 9.8 gerir óauðkenndum ógnaraðila kleift að framkvæma fjarkeyrslu á kóða (e. remote code execution) á þjóni.
Microsoft Message Queuing
Veikleikinn CVE-2023-36910 með CVSSv3 veikleikastig upp á 9.8 gerir ógnaraðila kleift að senda MSMQ pakka á MSMQ þjóninn sem getur leitt til fjarkeyrslu á kóða á þjóninum.
Tilvísanir:
[1] https://msrc.microsoft.com/update-guide/en-us
[2] https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2023-patch-tuesday-warns-of-2-zero-days-87-flaws/
