Обновление Microsoft: 73 уязвимости, включая два нулевых дня

166

Microsoft выпустила патчи для 73 CVE, включая два нулевых дня. Обновления, выпущенные 13 февраля, также включали исправления для критических уязвимостей удаленного выполнения кода и критического повышения привилегий в Exchange. Лидирующий инженер программного обеспечения в области безопасности Rapid 7, Адам Барнетт, сообщил, что в течение месяца было отдельно сообщено о шести уязвимостях браузера.

Относительно анонса Patch Tuesday он заявил: “CVE-2024-21351 описывает уязвимость обхода функции безопасности в Windows SmartScreen. Microsoft уже заметила признаки использования в дикой природе. Для успешной эксплуатации необходимо, чтобы злоумышленник убедил пользователя открыть зловредный файл.” Барнетт сказал, что обычно Microsoft Office защищает пользователей от различных атак, открывая файлы с помощью Mark of the Web в Protected View, что означает, что Office будет отображать документ без загрузки потенциально зловредных внешних ресурсов.

“CVE-2024-21413 – это критическая уязвимость RCE в Office, позволяющая злоумышленнику вызвать открытие файла в режиме редактирования, как если бы пользователь согласился доверять файлу”, – сказал он. Еще одна уязвимость, CVE-2024-21357, касалась Windows Pragmatic General Multicast.

“Хотя CVSSv3 базовый балл относительно невелик, благодаря высокой сложности атаки и ограниченным подсетям, Microsoft оценивает эту уязвимость как критическую по своей собственной шкале тяжести”, – пояснил Барнетт. Еще одна исправленная уязвимость была обнаружена в Microsoft Windows 10 и позднее, а также в Microsoft Windows Server 2008 и позднее.

Это касается уязвимости безопасности, связанной с файлами ярлыков Интернета, идентифицированных как CVE-2024-21412. Данная уязвимость имеет “важное” влияние, с уровнем серьезности 8,1 по шкале CVSS. Организациям следует реализовывать официальные патчи и обновления, выпущенные Microsoft, чтобы эффективно решить эту уязвимость.
Оригинальная новость на сайте