پچ سه شنبه 4 باگ مهم RCE و تعدادی حفره آفیس را برطرف می کند

پچ سه شنبه 4 باگ مهم RCE و تعدادی حفره آفیس را برطرف می کند

تمبر زمان: 13 ژوئن 2023، 7:32 بعد از ظهر
گره منبع: 2132370
by پل داکلین

اگر حفره Edge RCE وصله شده را نادیده بگیرید، در این ماه روز صفر وجود ندارد هفته گذشته (حتماً مطمئن شوید که آن به روز رسانی را دریافت کرده اید):

برای لیست کامل اصلاحات مایکروسافت پچ سه شنبه این ماه، به سایت خواهر ما Sophos News، جایی که تحلیلگران SophosLabs گردآوری کرده اند، نگاهی بیندازید. لیست های کامل از CVE های متعدد مایکروسافت که در این ماه برطرف شد:

دقیقا همانطور که دوست داری

کمک کننده است، محققان ما ایجاد کرده اند لیست های متعدد، به صورت دستی مرتب شده توسط نوع و شدت اشکال (بنابراین می توانید اجرای کد از راه دور خود را از elevations-of-privilege خود تشخیص دهید). با حدس های مایکروسافت در احتمال اینکه کلاهبرداران به سوء استفاده های کاری پی ببرند برای هر اشکال (در صورتی که دوست دارید تلاش های خود را به این ترتیب اولویت بندی کنید)، و توسط نوع محصول (اگر دوست دارید تلاش‌های خود را بین تیم سرور، کارشناسان آفیس و گروه پشتیبانی لپ‌تاپ خود تقسیم کنید).

در صورت تعجب، وجود داشت 26 وصله اجرای کد از راه دور (RCE).، از جمله چهار مورد که "بحرانی" نامیده می شوند، اگرچه به نظر می رسد سه مورد از آنها باگ های مرتبطی هستند که با هم در یک جزء ویندوز پیدا شده و برطرف شده اند.

وصله‌های RCE معمولاً بیشترین نگرانی را ایجاد می‌کنند، زیرا با باگ‌هایی سروکار دارند که حداقل در تئوری می‌توانند توسط مهاجمانی که هنوز در شبکه شما جای پایی ندارند مورد سوء استفاده قرار گیرند، به این معنی که آنها راه‌های احتمالی نفوذ و ورود مجرمان را نشان می‌دهند. در وهله اول.

وجود دارد 17 اصلاحات Elevation-of-Privilege (EoP).که تنها یکی از آنها توسط مایکروسافت "بحرانی" تلقی می شود، از قضا در سرور شیرپوینت، ابزاری است که بسیاری از شرکت ها برای تبادل مقادیر زیادی داده در شبکه های خود به آن تکیه می کنند.

به عبارت دیگر، دسترسی غیرمجاز به شیرپوینت می‌تواند به مهاجمان یک پاس رایگان بدهد تا مستقیماً به داده‌های تروفی خود یا حتی مشتریان شما دسترسی پیدا کنند، همانطور که اخیراً برای شرکت‌های متعددی که از سرویس اشتراک‌گذاری فایل رقیب استفاده می‌کنند رخ داده است. MOVEit.

همانطور که احتمالاً می دانید، مشکل باگ های EoP این است که اغلب به عنوان مرحله دوم در حمله از خارج مورد سوء استفاده قرار می گیرند و توسط مجرمان سایبری برای افزایش امتیازات دسترسی خود در اسرع وقت پس از نفوذ مورد استفاده قرار می گیرند.

این می‌تواند منجر به نقض امنیتی شود که با قرار گرفتن در معرض نسبتاً محدود اولیه شروع شد (به عنوان مثال، دسترسی سرکش فقط به فایل‌های محلی در لپ‌تاپ یک کاربر)…

... به یک حادثه بسیار خطرناک تر (به عنوان مثال، دسترسی سرکش به لپ تاپ دیگران در سراسر شبکه، و شاید به همه سرورهای شرکت شما، مانند پایگاه های داده مشتریان، سیستم های پرداخت، پشتیبان گیری و موارد دیگر).

سوراخ های قابل توجه

کارشناسان SophosLabs شش مورد از CVE ها را به عنوان "قابل توجه" شناسایی کرده اند.

به ما سر بزنید گزارش طولانی برای اطلاعات بیشتر در مورد آن شش اشکال.

در حال حاضر، ما فقط پنج مورد از آنها را در اینجا فهرست می کنیم:

  • CVE-2023-29357. افزایش آسیب پذیری امتیاز سرور شیرپوینت مایکروسافت. این اشکال می‌تواند به کلاه‌بردارانی که به شبکه شما دسترسی دارد، اما بدون ورود به سیستم شیرپوینت شما، راهی برای سرقت اعتبار دسترسی یک کاربر قانونی و در نتیجه نادیده گرفتن نیاز به ایجاد نام کاربری، رمز عبور یا نادیده گرفتن آن بدهد. کد 2FA خودشون.
  • CVE-2023-29363، -32014 و -32015. آسیب پذیری اجرای کد از راه دور چندپخشی عمومی (PGM) Windows Pragmatic. اگر از سرویس صف پیام ویندوز در شبکه خود استفاده می کنید، این اشکالات می توانند به مهاجمان اجازه دهند تا دستگاهی را در شبکه شما فریب دهند تا کد مورد نظر خود را اجرا کند.
  • CVE-2023-33146. آسیب پذیری اجرای کد از راه دور مایکروسافت آفیس. ظاهراً، بنابراین باگ می‌تواند توسط فایل‌های SketchUp به دام افتاده (ما حتی در مورد برنامه SketchUp نشنیده‌ایم، چه رسد به استفاده از آن، اما ظاهراً این یک برنامه گرافیکی سه بعدی محبوب است) که در طیف گسترده‌ای از فایل‌های آفیس، از جمله Word تعبیه شده است، ایجاد شود. ، اکسل، پاورپوینت و Outlook.

به طور جالب توجهی، به نظر می رسد پچ برای CVE-2023-33146 نشانه ای از مشکلات امنیتی حل نشده گسترده تر در پشتیبانی Office برای مدیریت اشیاء SketchUp، احتمالاً به دلیل دشواری تجزیه، پردازش و جاسازی یک فرمت فایل پیچیده دیگر در اسناد آفیس.

در واقع، در 2023-06-01، مایکروسافت رسما اعلام که سیستم تعبیه SketchUp را تا اطلاع ثانوی خاموش می کند (تاکید ما):

قابلیت درج گرافیک SketchUp (فایل‌های skp.) به طور موقت در Word، Excel، PowerPoint و Outlook برای Windows و Mac غیرفعال شده است. نسخه‌های آفیس که این ویژگی را فعال کرده بودند، دیگر به آن دسترسی نخواهند داشت. […] از شکیبایی شما قدردانی می کنیم که برای اطمینان از امنیت و عملکرد این ویژگی تلاش می کنیم.

خزش ویژگی که به موجب آن اشیاء تعبیه شده در فایل های آفیس خطرات امنیتی جدیدی را ایجاد می کنند... چه کسی می دانست؟

تمبر زمان:

بیشتر از امنیت برهنه