690075
Обновления исправляют 75 уязвимостей, в том числе 9 критических и 66 уязвимостей высокого уровня опасности. Среди исправленных ошибок есть три уязвимости «нулевого дня».
Обновления затронули следующие продукты компании: Microsoft Windows, Microsoft Office, Exchange Server, .NET Core, Visual Studio, 3D Builder, Print 3D, Microsoft Azure, Dynamics 365, Microsoft Edge и др.
Уязвимостям «нулевого дня» присвоен высокий рейтинг опасности. Две из них (CVE-2023-21823 и CVE-2023-23376) затрагивают Windows Graphics Component и Windows Common Log File System Driver и связаны с повышением привилегий. Третья уязвимость «нулевого дня» (CVE-2023-21715) затрагивает Microsoft Office и позволяет злоумышленнику, прошедшему процедуру аутентификации в системе, обойти ограничения безопасности, используемые для блокировки вредоносных файлов.
Для критической уязвимости (CVE-2023-21716), затрагивающей Microsoft Word, вектором атаки является панель предварительного просмотра Outlook. Злоумышленник может использовать эту ошибку для выполнения кода с привилегиями вошедшего в систему пользователя, при этом взаимодействие с пользователем не требуется. Используя эту ошибку в сочетании с другой уязвимостью, например, повышения привилегий, злоумышленник может получить полный доступ к целевой системе.
Три критические уязвимости затрагивают защищённый расширяемый протокол аутентификации (Protected Extensible Authentication Protocol, PEAP), не требуют от злоумышленника взаимодействия с пользователем и могут позволить удаленно выполнить произвольный код.
Другие критические уязвимости затрагивают Visual Studio, .NET and Visual Studio, Microsoft SQL ODBC Driver, Windows iSCSI Discovery Service. Все они могут привести к выполнению кода злоумышленником.
Уязвимости высокого уровня опасности позволяют обойти ограничения безопасности, повысить привилегии, раскрыть конфиденциальную информацию, подменить данные (spoofing), выполнить произвольный код, осуществить атаку типа «отказ в обслуживании» и «межсайтовое выполнение сценариев».
Национальный координационный центр по компьютерным инцидентам рекомендует устанавливать обновления только после оценки всех сопутствующих рисков.
Интернет-портал «Безопасность пользователей в сети Интернет»
admin@safe-surf.ru
https://safe-surf.ru
