666055
08.06.2021 компания Microsoft выпустила ежемесячные обновления для своих продуктов, исправляющие 50 уязвимостей, в том числе 5 критических и 45 уязвимостей высокого уровня опасности. В числе исправленных ошибок шесть уязвимостей «нулевого дня», а информация о трёх уязвимостях стала общедоступной до выхода обновления.
Обновления затронули следующие продукты компании: Microsoft Windows, .NET Core, Visual Studio, 3D Viewer, Microsoft Edge, Microsoft DWM Core Library, Microsoft Intune, Microsoft Office, Microsoft Scripting Engine, Microsoft Windows Codecs Library, Paint 3D, Hyper-V, Visual Studio Code.
Критическая уязвимость «нулевого дня» CVE-2021-33742 связана с удаленным выполнением кода и затрагивает браузерный движок для Microsoft Internet Explorer Trident (MSHTML). Учитывая, что уязвимость содержится в самом движке, то ей подвержен не только браузер Internet Explorer, но и другие приложения. Она касается всех поддерживаемых версий Microsoft Windows, поэтому пользователям настоятельно рекомендуется применить доступное обновление.
Другие критические уязвимости (CVE-2021-31985, CVE-2021-31963, CVE-2021-31959, CVE-2021-31967) затрагивают Microsoft Defender, Microsoft SharePoint Server, Scripting Engine и VP9 Video Extensions. Их эксплуатация может привести к удаленному выполнению кода злоумышленником.
Остальным уязвимостям «нулевого дня» присвоен высокий рейтинг опасности. Две из них затрагивают Microsoft Enhanced Cryptographic Provider (CVE-2021-31199, CVE-2021-31201), они связаны с ошибкой в Adobe Reader и могут привести к повышению привилегий. Уязвимость CVE-2021-33739 содержится в Microsoft DWM Core Library, для её эксплуатации злоумышленнику необходимо организовать запуск исполняемого файла или сценария на целевом компьютере. Доступ к нему он может получить с помощью фишинговой атаки. Уязвимость в ядре Windows (CVE-2021-31955) может привести к раскрытию содержимого памяти ядра. Уязвимость в Windows NTFS (CVE-2021-31956) может позволить злоумышленнику получить контроль над уязвимой системой. Для этого ему нужно войти в систему, например, убедив пользователя открыть специально созданный вредоносный файл.
Уязвимости CVE-2021-31962 присвоен наивысший в этом выпуске обновлений рейтинг опасности – 9,4 по 10-балльной шкале CVSS версии 3.0. Она затрагивает Kerberos AppContainer и может позволить злоумышленнику обойти процедуру аутентификации для доступа к любой службе.
Уязвимости высокого уровня опасности позволяют обойти ограничения безопасности, повысить привилегии, раскрыть конфиденциальную информацию, подменить данные (spoofing), выполнить произвольный код, провести атаку типа «отказ в обслуживании».
Пользователям рекомендуется обновить установленное программное обеспечение Microsoft до последних версий.
Интернет-портал «Безопасность пользователей в сети Интернет»
admin@safe-surf.ru
https://safe-surf.ru
