.
A Microsoft lançou atualizações de segurança para 78 falhas para o Patch Tuesday de junho e, felizmente para os administradores, nenhuma delas está sob exploração.
De ontem bug crítico do Fortinet e o curso Progresso MOVEit falhasno entanto, são histórias totalmente diferentes, portanto, os pensamentos e orações proverbiais para as equipes que lidam com essas confusões.
O grande dia do patch da Microsoft classificou seis das correções de hoje como críticas e quatro delas obtiveram uma pontuação de gravidade de 9,8, então vamos começar com elas.
CVE-2023-29357, uma vulnerabilidade de elevação de privilégio do Microsoft SharePoint Server, é listada por Redmond como “mais provável de exploração”. Isso pode ser porque, quando encadeado com outros bugs, foi usado para ignorar a autenticação durante o mês de março Pwn2Own concurso.
Um invasor pode usar essa vulnerabilidade para obter privilégios de administrador sem qualquer interação do usuário, de acordo com a Microsoft. Depois de “obter acesso a tokens de autenticação JWT falsificados, eles podem usá-los para executar um ataque de rede que ignora a autenticação e permite que eles obtenham acesso aos privilégios de um usuário autenticado”, de acordo com a atualização de segurança.
As outras três vulnerabilidades com classificação 9.8 permitem a execução remota de código (RCE): CVE-2023-29363, CVE-2023-32014e CVE-2023-32015. Todos os três podem permitir que um invasor remoto e não autenticado execute código mal-intencionado em um sistema Windows em que o serviço de enfileiramento de mensagens esteja sendo executado em um ambiente de servidor Pragmatic General Multicast (PGM).
“Este é o terceiro mês consecutivo para o PGM ter um bug do CVSS 9.8 resolvido, e está começando a ser um tema”, disse Dustin Childs, da Zero Day Initiative. apontou. “Embora não habilitado por padrão, o PGM não é uma configuração incomum. Vamos esperar que esses bugs sejam corrigidos antes que qualquer exploração ativa comece.”
Os dois patches críticos restantes corrigem vulnerabilidades de negação de serviço (CVE-2023-32013) no Windows Hyper-V e outro bug RCE CVE-2023-24897) em .NET, .NET Framework e Visual Studio.
VMware corrige falha, mas a China descobriu primeiro
Noutras notícias destacamos a VMware, que admite que um dos bugs divulgados hoje já está a ser explorado por alegados espiões chineses, nomeadamente, uma atualização de segurança para corrigir uma vulnerabilidade de bypass de autenticação do VMware Tools que afeta hipervisores ESXi, rastreada como CVE-2023 -20867.
“Um host ESXi totalmente comprometido pode forçar o VMware Tools a falhar na autenticação de operações host-para-convidado, afetando a confidencialidade e a integridade da máquina virtual convidada”, disse a gigante da virtualização disse.
De acordo com Mandiant, um grupo chinês de espionagem cibernética que rastreia como UNC3886 encontrado e explorado a falha antes que a VMware lançasse um patch. mandante avistei essa mesma gangue visando hipervisores VMware para fins de espionagem em 2022.
Adobe lança quatro patches
E para a Adobe, cujos patches de junho também são felizmente desiguais, com nenhuma das vulnerabilidades sendo exploradas ou conhecidas publicamente no momento da publicação.
No total, o fornecedor de software lançou quatro patches para corrigir 18 bugs no Adobe Experience Manager, Commerce, Animate e Substance 3D Designer.
O remendo para Gerenciador de experiência da Adobe aborda quatro CVE classificados como importantes e moderados. A exploração bem-sucedida dessas falhas pode permitir a execução arbitrária de códigos e desvios de recursos de segurança.
O Adobe Commerce atualização corrige 12 CVEs, incluindo uma vulnerabilidade RCE crítica.
Há apenas uma correção para ambos Adobe Animate e Designer 3D do Adobe Substancemas esses dois patches também tratam de RCEs críticos.
SAP aborda XXS
SAP hoje lançado oito novas notas de segurança e cinco atualizações para avisos lançados anteriormente. Quatro deles são classificados como alta prioridade, oito são médios e um é de baixa prioridade.
Curiosamente, oito deles corrigem vulnerabilidades de Cross-Site Scripting (XSS). Isso inclui uma das novas notas de segurança de alta prioridade, nº 3324285, com uma pontuação CVSS de 8,2, que corrige uma vulnerabilidade de Stored XXS no UI5 Variant Management.
“Essa vulnerabilidade permite que um invasor obtenha acesso no nível do usuário e comprometa a confidencialidade, integridade e disponibilidade do aplicativo UI5 Varian Management”, de acordo com Caçadores de bugs SAP da Onapsis.
Android, ainda quente com fornecedores de spyware
E fechando a festa do patch de junho, o Google lançou seu atualização de segurança do Android no início deste mês com correções para 56 bugs.
“O mais grave desses problemas é uma vulnerabilidade de segurança crítica no componente do sistema que pode levar à execução remota de código por Bluetooth, se o suporte HFP estiver ativado, sem a necessidade de privilégios de execução adicionais. A interação do usuário não é necessária para exploração”, de acordo com Google. É rastreado como CVE-2023-21108.
Outra das correções de junho aborda o CVE-2022-22706, uma falha da GPU Arm Mali que o Grupo de Análise de Ameaças do Google disse ter já foi explorado por fornecedores de spyware. ®
.
