Вторник патчей (апрель 2021): Microsoft исправила 108 уязвимостей, включая 5 угроз нулевого дня

История с Microsoft Exchange продолжается уже второй месяц, и системным администраторам в апреле также не получится расслабиться.

В общей сложности в этот раз компании удалось исправить 108 уязвимостей, 19 из которых помечены как критические, а остальные 89 имеют статус «Важные». В данное число не входят 6 уязвимостей Microsoft Edge на Chromium, патчи для которых вышли в начале месяца.

• Обновление KB5001330 для Windows 10, версия 21H1, 20H2 и 2004
• Обновление KB5001337 для Windows 10, версия 1909
• Обновления безопасности для Windows 7 и Windows 8.1 (апрель 2021)

Компания подготовила патчи для пяти уязвимостей нулевого дня, информация о которых стала общедоступной. Также известно, что, по крайней мере, одна из уязвимостей эксплуатировалась в реальных условиях.

Кроме того, Microsoft устранила четыре критические уязвимости Microsoft Exchange, обнаруженные АНБ.

Подробная информация о выпущенных накопительных обновлениях KB5001330 и KB5001337 для Windows 10 доступна на соответствующих страницах этих обновлений.

Исправлено 5 уязвимостей нулевого дня

В рамках «Вторника Патчей» Microsoft устранила четыре публично раскрытых уязвимости и одну активно используемую уязвимость.

Согласно заявлениям компании, следующие четыре уязвимости были раскрыты, но не использовались в реальных атаках:

• CVE-2021-27091 - уязвимость повышения привилегий в службе сопоставления конечных точек RPC.
• CVE-2021-28312 - уязвимость Windows NTFS, направленная на отказ в обслуживании.
• CVE-2021-28437 - уязвимость установщика Windows, связанная с раскрытием информации.
• CVE-2021-28458 - уязвимость, связанная с повышением привилегий в библиотеке Azure ms-rest-nodeauth.

Еще одна уязвимость, обнаруженная исследователем «Лаборатории Касперского» Борисом Лариным, использовалась в реальных атаках предположительно группировкой BITTER APT:

• CVE-2021-28310 - уязвимость Win32k, связанная с повышением привилегий.

В блоге Securelist «Лаборатории Касперского» сообщается:

Мы считаем, что этот эксплойт широко используется, возможно, несколькими злоумышленниками. Это эксплойт повышения привилегий (EoP), вероятнее всего, используется вместе с другими эксплойтами браузера для выхода из песочницы или получения системных привилегий для дальнейшего доступа

К сожалению, нам не удалось установить всю цепочку, поэтому мы не знаем, используется ли эксплойт в связке с другой уязвимостью нулевого дня или в сочетании с известными исправленными уязвимостями.

АНБ обнаружило еще 4 уязвимости Microsoft Exchange

Администраторы Microsoft Exchange снова не смогут расслабиться, потому что в Microsoft Exchange были исправлены еще четыре критических уязвимости удаленного выполнения кода, обнаруженные АНБ. Две из этих уязвимостей относятся к предварительной аутентификации, а значит не требуют от злоумышленников предварительной авторизации на сервере.

Известно, что ни одна из уязвимостей не эксплуатировалась в реальных атаках:

• CVE-2021-28480 - уязвимость удаленного исполнения кода в Microsoft Exchange Server.
• CVE-2021-28481 - уязвимость удаленного исполнения кода в Microsoft Exchange Server.
• CVE-2021-28482 - уязвимость удаленного исполнения кода в Microsoft Exchange Server.
• CVE-2021-28483 - уязвимость удаленного исполнения кода в Microsoft Exchange Server.

Дополнительная информация об этих уязвимостях доступна на сайте Microsoft Tech Community.

Обновления от других компаний

• Adobe выпустила обновления безопасности для Adobe Creative Cloud Desktop, Framemaker и Connect.
• Апрельские обновления безопасности Android, включая Android 10 и Android 11, были выпущены на прошлой неделе.
• Apple выпустила обновления безопасности для GarageBand, но не предоставила подробностей о том, что было исправлено.
• В этом месяце Cisco выпустила обновления безопасности для многих своих продуктов.
• SAP выпустила обновления безопасности за апрель 2021 года.