Вторник патчей, март 2023: Microsoft исправила 83 проблемы безопасности, в том числе две уязвимости «нулевого дня»

Девять исправленных уязвимостей получили наивысший рейтинг серьезности «Критический», так как способствуют удаленному выполнению произвольного кода, отказу в обслуживании и повышению привилегий на уязвимых устройствах.

Классификация уязвимостей по типу:

• 21 уязвимость повышения привилегий
• 2 уязвимости обхода функций безопасности
• 27 уязвимостей удаленного выполнения кода
• 15 уязвимостей раскрытия информации
• 4 уязвимостей отказа в обслуживании
• 10 уязвимостей спуфинга

Еще 21 уязвимость была исправлена в релизе Microsoft Edge 111.

Для установки доступны следующие обновления:

• Обновление KB5023706 (Build 22621.1413) для Windows 11, версия 22H2
• Обновление KB5023698 (Build 22000.1696) для Windows 11, версия 21H2
• Обновление KB5023696 для Windows 10, версия 22H2 и 21H2
• Обновления безопасности для Windows Server за март 2023

Исправлено две уязвимости нулевого дня

В этот «Вторник Патчей» Microsoft исправила две активно эксплуатируемые уязвимости «нулевого дня».

Microsoft расценивает уязвимость как уязвимость нулевого дня, если она была публично раскрыта или активно используется до выхода официального патча.

Исправлены следующие уязвимости:

• CVE-2023-23397 — Уязвимость повышения привилегий в Microsoft Outlook.

Microsoft исправила уязвимость повышения привилегий в Microsoft Outlook. В эксплойте используются специально созданные электронные письма, заставляющие целевое устройство подключаться к удаленному URL-адресу и передавать хэш Net-NTLMv2 учетной записи Windows.

В бюллетени Microsoft сообщается:

Злоумышленники могут отправлять специально созданные электронные письма, которые вызовут соединение жертвы с внешним местоположением UNC, контролируемым злоумышленниками. Это приведет к утечке хэша Net-NTLMv2 жертвы, который затем может передать другой службе для аутентификации.

Согласно Microsoft, данная уязвимость «срабатывает автоматически, когда она извлекается и обрабатывается почтовым сервером».

• CVE-2023-24880 — Уязвимость обхода функций безопасности в SmartScreen Windows.

Microsoft исправила активно используемую уязвимость нулевого дня в Windows SmartScreen, которая использовалась для распространения и установки вредоносных программ.

В бюллетени безопасности сообщается:

Злоумышленник может создать вредоносный файл, который сможет обойти защиту Mark of the Web (MOTW), что приведет к ограниченной потере целостности и доступности функций безопасности, таких как защищенный просмотр в Microsoft Office, которые полагаются на теги MOTW.

При эксплуатации вредоносный файл может запускаться без предупреждения системы безопасности Mark of the Web (MoTW).

Обновления от других компаний

• Компания Apple выпустила исправления для GarageBand в macOS 10.4.8.
• Компания Cisco выпустила обновления безопасности для многих продуктов, включая Cisco Identity Services, Cisco Broadworks и Cisco Email Security Appliance.
• Компания Google выпустила обновления безопасности для Android, ChromeOS и Google Chrome.
• Компания Fortinet выпустила патчи против активно эксплуатируемой уязвимости FortiOS.
• Компания SAP выпустила мартовские обновления безопасности.
• Компания Veeam устранила уязвимость удаленного выполнения кода в Veeam Backup & Replication (VBR).