パッチが適用された Edge RCE ホールを無視した場合、今月はゼロデイはありません 先週 (ちなみに、アップデートが適用されていることを確認してください):
今月の Microsoft Patch Tuesday の修正の完全なリストについては、SophosLabs アナリストがまとめた姉妹サイト Sophos News をご覧ください。 完全なリスト 今月修正された多数の Microsoft CVE のうち、次のものが挙げられます。
あなたの好きなように
ありがたいことに、私たちの研究者が作成したのは、 複数のリスト、簡単に並べ替えられます バグの種類と重大度 (そのため、権限の昇格からリモートコードの実行を知ることができます); Microsoft の推測によると、 犯罪者が有効なエクスプロイトを見つけ出す可能性 バグごとに (作業に優先順位を付けたい場合に備えて)、 製品の種類 (パッチ適用作業をサーバー チーム、Office 専門家、ラップトップ サポート クルーの間で分担したい場合)。
ご参考までに、次のようなものがありました。 26 個のリモート コード実行 (RCE) パッチそのうち XNUMX 件は「重大」と呼ばれていますが、そのうち XNUMX 件は、単一の Windows コンポーネントで発見され、まとめて修正された関連するバグのようです。
RCE パッチは、一般的に最も懸念されます。なぜなら、RCE パッチは、少なくとも理論上、ネットワークにまだ足場を持っていない攻撃者によって悪用される可能性のあるバグに対処するためです。つまり、犯罪者が侵入する可能性のある手段を意味します。そもそも。
があった 17 特権昇格 (EoP) の修正そのうちの XNUMX つだけが Microsoft によって「重要」と判断されており、皮肉にも SharePoint Server です。SharePoint Server は、多くの企業がネットワーク内で大量のデータを安全に交換するためにまさに依存しているツールです。
言い換えれば、SharePoint への不正アクセスは、競合するファイル共有サービスを使用している多くの企業で最近起こったように、攻撃者に自社または顧客のトロフィー データに直接アクセスできるフリーパスを与える可能性があります。 それを移動.
おそらくご存知のとおり、EoP バグの問題は、外部からの攻撃の第 XNUMX ステップとして悪用されることが多く、サイバー犯罪者が侵入後できるだけ早くアクセス権限を強化するために利用されることです。
これにより、初期の露出が比較的限定的で始まったセキュリティ侵害 (たとえば、あるユーザーのラップトップ上のローカル ファイルへの不正アクセスなど) が一変する可能性があります。
…さらに危険なインシデントに発展します (たとえば、ネットワークを介して他の全員のラップトップに不正アクセスが行われ、おそらく顧客データベース、支払いシステム、バックアップなどのすべての企業サーバーにも不正アクセスが行われます)。
注目すべき穴
SophosLabs の専門家は、CVE のうち XNUMX つを「注目すべき」と特定しました。
私たちに向かって 長い形式のレポート これら XNUMX つのバグの詳細については、こちらをご覧ください。
現時点では、そのうちの XNUMX つだけをここにリストします。
- CVE-2023-29357。 Microsoft SharePoint Server の特権昇格の脆弱性。 このバグにより、ネットワークにアクセスできるが、SharePoint システムにログオンしていない犯罪者に、正規ユーザーのアクセス資格情報を盗み、ユーザー名、パスワード、またはパスワードを作成する必要性を回避する方法が与えられる可能性があります。独自の 2FA コード。
- CVE-2023-29363、-32014、および-32015。 Windows の Pragmatic General Multicast (PGM) リモート コード実行の脆弱性。 ネットワークで Windows メッセージ キュー サービスを使用している場合、これらのバグにより、攻撃者がネットワーク上のデバイスを騙して任意のコードを実行させる可能性があります。
- CVE-2023-33146。 Microsoft Office リモートでコードが実行される脆弱性。 どうやら、このバグは、Word を含むさまざまな Office ファイルに埋め込まれたブービートラップされた SketchUp ファイル (SketchUp アプリについては聞いたこともありませんし、使用したこともありませんが、どうやら人気のある 3D グラフィック プログラムのようです) によって引き起こされる可能性があります。 、Excel、PowerPoint、Outlook。
興味深いことに、CVE-2023-33146 のパッチは次の症状を示しているようです。 広範な未解決のセキュリティ問題 Office による SketchUp オブジェクトの処理のサポートに問題があるのは、おそらく、さらに別の複雑なファイル形式を Office ドキュメントに安全に解析、処理、埋め込むことが難しいためと考えられます。
実際、2023 年 06 月 01 日、マイクロソフトは 正式に発表しました 追って通知があるまで SketchUp 埋め込みシステムをオフにしていました (強調)。
Windows および Mac の Word、Excel、PowerPoint、Outlook では、SketchUp グラフィックス (.skp ファイル) を挿入する機能が一時的に無効になっています。 この機能が有効になっていたバージョンの Office では、この機能にアクセスできなくなります。 […] この機能のセキュリティと機能性を確保するために取り組んでいますので、しばらくお待ちください。
Office ファイルに埋め込まれたオブジェクトによって新たなセキュリティ リスクがもたらされる機能のクリープ…誰が知っていたでしょうか?
- SEO を活用したコンテンツと PR 配信。 今日増幅されます。
- EVMファイナンス。 分散型金融のための統一インターフェイス。 こちらからアクセスしてください。
- クォンタムメディアグループ。 IR/PR増幅。 こちらからアクセスしてください。
- プラトアイストリーム。 Web3 データ インテリジェンス。 知識増幅。 こちらからアクセスしてください。
- 情報源： https://nakedsecurity.sophos.com/2023/06/14/patch-tuesday-fixes-4-critical-rce-bugs-and-a-bunch-of-office-holes/
