«Вторник Патчей», ноябрь 2024: Microsoft исправила 91 проблему безопасности, в том числе 4 уязвимости «нулевого дня»

Всего исправлено четыре критические проблемы безопасности, две из них являются уязвимостями удаленного выполнения кода и еще две — уязвимостями повышения привилегий.

Классификация уязвимостей по типу:

• 26 уязвимостей повышения привилегий
• 2 уязвимости обхода функций безопасности
• 52 уязвимости удаленного выполнения кода
• 1 уязвимость раскрытия информации
• 4 уязвимости отказа в обслуживании
• 3 уязвимости спуфинга

Для установки доступны следующие обновления:

Windows

Windows LTSC

• Обновление KB5046617 (Build 26100.2314) для Windows 11 LTSC 2024
• Обновление KB5046613 (Build 19044.5131) для Windows 10 LTSC 2021

Windows Server

• Обновление KB5046617 (Build 26100.2314) для Windows Server 2025
• Обновление KB5046617 (Build 26100.2314) для Windows Server, версия 24H2
• Обновление KB5046618 (Build 25398.1251) для Windows Server, версия 23H2
• Обновление KB5046616 (Build 20348.2849) для Windows Server 2022
• Обновление KB5046615 (Build 17763.6532) для Windows Server 2019
• Обновление KB5046612 (Build 14393.7515) для Windows Server 2016

В это число не входят две уязвимости Microsoft Edge, которые были исправлены 7 ноября.

Исправлены четыре уязвимости «нулевого дня»

В этот «Вторник Патчей» исправлено в общей сложности четыре уязвимости «нулевого дня», две из которых активно используются в атаках. Публично раскрыты 3 из 4 уязвимостей.

Microsoft классифицирует уязвимость как уязвимость нулевого дня, если она публично раскрыта или активно эксплуатируется без официального исправления.

Две активно эксплуатируемые уязвимости нулевого дня:

• CVE-2024-43451— Уязвимость раскрытия хэша NTLM путем подмены

Microsoft устранила уязвимость, которая позволяет удаленным злоумышленникам получить NTLM-хэши с минимальным взаимодействием пользователя с вредоносным файлом.

В бюллетени по безопасности сообщается:

Данная уязвимость раскрывает NTLMv2-хэш пользователя атакующему, который может использовать ее для аутентификации от имени пользователя.

Для эксплуатации уязвимости пользователю достаточно минимального взаимодействия с вредоносным файлом, например выделения (одиночный клик), просмотра (правый клик) или другого действия, кроме открытия или выполнения файла.

Microsoft сообщает, что уязвимость была обнаружена Израэлем Йешуруном (Israel Yeshurun) из ClearSky Cyber Security. Уязвимость публично раскрыта, но дополнительной информации о ней представлено не было.

• CVE-2024-49039— Уязвимость повышения привилегий в Планировщике заданий Windows

Специально созданное приложение может повысить уровень привилегий до среднего уровня целостности.

Microsoft поясняет:

В этом случае успешная атака может быть выполнена из среды с низкими привилегиями AppContainer. Атакующий сможет повысить свои привилегии и выполнить код или получить доступ к ресурсам на более высоком уровне целостности, чем среда выполнения AppContainer.

Microsoft отмечает, что эксплуатация этой уязвимости позволяет злоумышленникам выполнять RPC-функции, которые обычно ограничены привилегированными учетными записями.

Уязвимость была обнаружена Владом Столяровым и Бахаре Сабури (Bahare Sabouri) из Google Threat Analysis Group. Точных данных о способах эксплуатации этой уязвимости в атаках нет.

Кроме CVE-2024-43451, также публично раскрыты следующие две уязвимости:

• CVE-2024-49040— уязвимость подмены отправителя в Microsoft Exchange Server

Microsoft устранила уязвимость в Microsoft Exchange, позволяющую злоумышленникам подделывать адрес отправителя в электронных письмах, отправляемых локальным получателям.

В бюллетени по безопасности сообщается:

Microsoft знает об уязвимости (CVE-2024-49040), которая позволяет злоумышленникам проводить атаки с подменой отправителя на серверах Microsoft Exchange.

Уязвимость связана с текущей реализацией проверки заголовка P2 FROM, выполняемой на этапе транспортировки.

С последними обновлениями безопасности для Microsoft Exchange, система теперь определяет и помечает поддельные письма, добавляя в начало текста предупреждение: «Внимание: Это письмо может быть подозрительным. Не доверяйте информации, ссылкам или вложениям без проверки источника с помощью надежного метода».

Уязвимость обнаружена специалистом Slonser из Solidlab.

• CVE-2024-49019 — уязвимость повышения привилегий в службах сертификации Active Directory

Microsoft устранила уязвимость, позволяющую атакующим получить права администратора домена, используя встроенные сертификаты версии 1.

Редмонд поясняет:

Проверьте, опубликованы ли у вас сертификаты, созданные с использованием шаблона сертификатов версии 1, где источник имени субъекта указан как «Предоставляется в запросе», а разрешения на регистрацию предоставлены широкому кругу учетных записей, например, пользователям или компьютерам домена.

Примером является встроенный шаблон Web Server, который по умолчанию не подвержен уязвимости из-за ограниченных прав на регистрацию.

Уязвимость была обнаружена Лу Шиккитаном (Lou Scicchitano), Скоттом Бернером (Scot Berner) и Джастином Боллингером (Justin Bollinger) из TrustedSec, которые раскрыли уязвимость под названием «EKUwu» в октябре.

В отчете TrustedSec отмечается:

Используя встроенные шаблоны сертификатов версии 1, злоумышленник может создать запрос сертификата (CSR) с указанием политик приложений, которые имеют приоритет над атрибутами расширенного использования ключей, заданными в шаблоне.

Единственным требованием является наличие прав на регистрацию, в этом случае уязвимость можно использовать для создания сертификатов для аутентификации клиента, запроса сертификатов и подписывания кода, используя шаблон WebServer.

Обновления от других компаний

• Компания Adobe выпустила обновления безопасности для ряда приложений, включая Photoshop, Illustrator и Commerce.
• Компания Cisco выпустила обновления безопасности для нескольких продуктов, включая Cisco Phones, Nexus Dashboard, Identity Services Engine и др.
• Компания Citrix выпустила обновления безопасности против уязвимостей в NetScaler ADC и NetScaler Gateway, а также обновление для Citrix Virtual Apps and Desktops.
• Компания Dell устранила уязвимости, позволяющие выполнять код и обходить меры безопасности в SONiC OS.
• Компания D-Link выпустила обновление безопасности для критической уязвимости в DSL6740C, позволяющей изменять пароли учетных записей.
• Компания Ivanti устранила двадцать пять уязвимостей в продуктах Ivanti Connect Secure (ICS), Ivanti Policy Secure (IPS) и Ivanti Secure Access Client (ISAC).
• Google исправил две уязвимости нулевого дня, активно эксплуатируемые в таргетированных атаках на Android
• Компания SAP выпустила обновления безопасности для нескольких продуктов в рамках ноябрьского «Вторника Патчей».
• Компания Schneider Electric устранила уязвимости в продуктах Modicon M340, Momentum и MC80.
• Компания Siemens выпустила обновление безопасности против критической уязвимости (10 из 10 по шкале CVSS) в TeleControl Server Basic, получившей идентификатор CVE-2024-44102.

© Comss.one. По материалам Bleepingcomputer