패치된 Edge RCE 구멍을 무시하면 이번 달에는 제로데이가 없습니다. 지난 주 (그런데 해당 업데이트를 받았는지 확인하십시오):

이달의 Microsoft 패치 화요일 수정 사항의 전체 목록은 SophosLabs 분석가가 수집한 자매 사이트인 Sophos News를 참조하십시오. 전체 목록 이번 달에 수정된 수많은 Microsoft CVE 중:

당신이 그것을 좋아하는 방식

도움이 된다면, 우리 연구원들은 여러 목록, 쉽게 정렬 버그 유형 및 심각도 (따라서 권한 상승에서 원격 코드 실행을 알 수 있습니다.) Microsoft의 추측에 따르면 사기꾼이 작동하는 익스플로잇을 알아낼 가능성 각 버그에 대해(그런 식으로 노력의 우선 순위를 지정하려는 경우) 제품 유형 (서버 팀, Office 전문가 및 랩톱 지원 팀 간에 패치 작업을 나누려는 경우).

궁금하신 분들은 원격 코드 실행(RCE) 패치 26개, "Critical"이라고 불리는 XNUMX개를 포함하지만 그 중 XNUMX개는 단일 Windows 구성 요소에서 함께 발견되고 수정된 관련 버그인 것으로 보입니다.

RCE 패치는 일반적으로 가장 큰 우려를 불러일으킵니다. RCE 패치는 이론상으로는 아직 네트워크에 발판을 마련하지 못한 공격자가 악용할 수 있는 버그를 처리하기 때문입니다. 우선.

이 있었다 17 EoP(권한 상승) 수정, 그 중 하나는 Microsoft에서 "중요"로 간주하며 아이러니하게도 많은 회사가 네트워크 내에서 대량의 데이터를 안전하게 교환하기 위해 의존하는 바로 그 도구인 SharePoint Server에서입니다.

즉, 최근 경쟁 파일 공유 서비스를 사용하는 수많은 회사에서 발생한 것처럼 SharePoint에 대한 무단 액세스는 공격자에게 무료 패스를 제공하여 귀사 또는 귀사 고객의 트로피 데이터에 직접 접근할 수 있습니다. 이동.

아시다시피 EoP 버그의 문제는 외부 공격의 두 번째 단계로 악용되는 경우가 많으며 사이버 범죄자가 침입 후 가능한 한 빨리 액세스 권한을 높이기 위해 사용한다는 것입니다.

이로 인해 비교적 제한된 초기 노출(예: 한 사용자의 랩톱에 있는 로컬 파일에만 악의적인 액세스)으로 시작된 보안 위반이 발생할 수 있습니다.

...훨씬 더 위험한 사고(예: 네트워크를 통해 다른 모든 사람의 랩탑에 대한 무단 액세스, 고객 데이터베이스, 지불 시스템, 백업 등과 같은 모든 회사 서버에 대한 악의적인 액세스).

주목할만한 구멍

SophosLabs 전문가는 XNUMX개의 CVE를 "주목할만한" 것으로 확인했습니다.

우리의 머리에 긴 보고서 XNUMX가지 버그에 대한 자세한 내용은

지금은 여기에 다섯 가지만 나열하겠습니다.

• CVE-2023-29357. Microsoft SharePoint Server 권한 상승 취약성. 이 버그는 네트워크에 액세스할 수 있지만 SharePoint 시스템에 로그온하지 않은 사기꾼에게 합법적인 사용자의 액세스 자격 증명을 훔쳐 사용자 이름, 암호 또는 자체 2FA 코드.
• CVE-2023-29363, -32014 및 -32015. Windows PGM(Pragmatic General Multicast) 원격 코드 실행 취약점. 네트워크에서 Windows 메시지 대기열 서비스를 사용하는 경우 이러한 버그로 인해 공격자가 네트워크의 장치를 속여 원하는 코드를 실행할 수 있습니다.
• CVE-2023-33146. Microsoft Office 원격 코드 실행 취약점. 분명히 버그는 Word를 포함한 다양한 Office 파일에 내장된 부비 트랩된 SketchUp 파일(SketchUp 앱은 사용은커녕 들어본 적도 없지만 분명히 인기 있는 3D 그래픽 프로그램임)에 의해 트리거될 수 있습니다. , Excel, PowerPoint 및 Outlook.

흥미롭게도 CVE-2023-33146에 대한 패치는 해결되지 않은 광범위한 보안 문제 SketchUp 개체 처리에 대한 Office의 지원에서 아마도 또 다른 복잡한 파일 형식을 Office 문서에 안전하게 구문 분석, 처리 및 포함하는 것이 어렵기 때문일 것입니다.

실제로 2023-06-01에 Microsoft는 공식적으로 발표 추가 공지가 있을 때까지 SketchUp 임베딩 시스템을 끕니다(강조).

Windows 및 Mac용 Word, Excel, PowerPoint 및 Outlook에서 SketchUp 그래픽(.skp 파일)을 삽입하는 기능이 일시적으로 비활성화되었습니다. 이 기능이 활성화된 Office 버전은 더 이상 이 기능에 액세스할 수 없습니다. [...] 이 기능의 보안과 기능을 보장하기 위해 노력하는 동안 기다려 주셔서 감사합니다.

Office 파일에 포함된 개체가 새로운 보안 위험을 초래하는 기능 크립… 누가 알았겠습니까?

• SEO 기반 콘텐츠 및 PR 배포. 오늘 증폭하십시오.
• EVM 금융. 탈중앙화 금융을 위한 통합 인터페이스. 여기에서 액세스하십시오.
• 퀀텀미디어그룹. IR/PR 증폭. 여기에서 액세스하십시오.
• PlatoAiStream. Web3 데이터 인텔리전스. 지식 증폭. 여기에서 액세스하십시오.
• 출처: https://nakedsecurity.sophos.com/2023/06/14/patch-tuesday-fixes-4-critical-rce-bugs-and-a-bunch-of-office-holes/