Bugün Microsoft'un Salı günü Ekim 2023 yaması, üç aktif olarak sömürülen sıfır gün güvenlik açıkları da dahil olmak üzere 104 kusur için güvenlik güncellemeleri.
Kırk beş uzaktan kod yürütme (RCE) hataları sabit olsa da, Microsoft sadece on iki güvenlik açıkını 'kritik' olarak değerlendirdi, bunların hepsi RCE kusurları.
Her güvenlik açığı kategorisindeki hata sayısı aşağıda listelenmiştir:
104 kusurun toplam sayısı, 3 Ekim'de Google tarafından sabitlenen ve Microsoft Edge'e taşınan CVE-2023-5346 olarak izlenen bir krom güvenlik açığı içermez.
Bugün yayınlanan güvenlik dışı güncellemeler hakkında daha fazla bilgi edinmek için, yeni Windows 11 KB5031354 Kümülatif Güncelleme ve Windows 10 KB5031356 Kümülatif Güncelleme ile ilgili özel makalelerimizi inceleyebilirsiniz.
Bu ay Salı günü yama üç sıfır gün güvenlik açığını düzeltir, hepsi saldırılarda sömürülür ve ikisi kamuya açıklanır.
Microsoft, herhangi bir resmi düzeltme olmadan herkese açık olarak ifşa edilirse veya aktif olarak kullanılırsa, bir güvenlik açığını sıfır gün olarak sınıflandırır.
Bugünün güncellemelerindeki aktif olarak sömürülen üç sıfır günlük güvenlik açıkları:
CVE-2023-41763-İmtiyaz Güvenlik Açığı İş Yüksekliği İçin Skype
Microsoft, ayrıcalık hatalarının yükselmesi olarak sınıflandırılan iş güvenlik açığı için aktif olarak sömürülen bir Skype'ı düzeltti.
Microsoft, "Güvenlik açığını başarıyla kullanan bir saldırgan, bazı hassas bilgileri (gizlilik) görebilir, ancak etkilenen bileşen içindeki tüm kaynaklar saldırgana açıklanamaz."
"Saldırgan açıklanan bilgilerde (bütünlük) değişiklik yapamazken veya kaynağa erişimi sınırlayamazken (kullanılabilirlik)."
Kusur, BleepingComputer'a Eylül 2022'de açıkladığı ancak Microsoft'un o sırada düzeltmeyi reddettiği aynı kusur olduğunu söyleyen Dr. Florian Hauser (@frycos) tarafından keşfedildi.
Hauser, BleepingComputer'a verdiği demeçte, "Bu güvenlik açığını iç ağlardaki sistemlere ulaşmak için kullanabilirsiniz. Temel olarak internet çevresini ihlal etmenize izin veriyor çünkü Skype genellikle genel internette maruz kalıyor."
CVE-2023-36563-Microsoft Wordpad Bilgileri Açıklama Güvenlik Açığı
Microsoft, WordPad'de bir belge açarken NTLM karmalarını çalmak için kullanılabilecek aktif olarak sömürülen bir güvenlik açığını düzeltti.
Microsoft, "Bu güvenlik açığından yararlanmak için, bir saldırganın önce sisteme giriş yapması gerekecek. Bir saldırgan daha sonra güvenlik açığından yararlanabilecek ve etkilenen bir sistemin kontrolünü ele geçirebilecek özel hazırlanmış bir uygulama yapabilir."
"Ayrıca, bir saldırgan yerel bir kullanıcıyı kötü amaçlı bir dosya açmaya ikna edebilir. Saldırgan, kullanıcıyı genellikle bir e -posta veya anlık mesajda bir ilgi yoluyla bir bağlantıyı tıklamaya ikna etmek ve daha sonra onları özel olarak açmaya ikna etmek zorunda kalacaktır. hazırlanmış dosya. "
Bu NTLM karmalar, hesaba erişmek için NTLM röle saldırılarında kırılabilir veya kullanılabilir.
Bu kusur, Microsoft Tehdit İstihbarat Grubu tarafından dahili olarak keşfedildi ve geçen ay düzeltilen CVE-2023-36761'in bir dalı gibi görünüyor.
CVE-2023-44487-HTTP/2 Hızlı Sıfırlama Saldırısı
Microsoft, Ağustos ayından bu yana aktif olarak sömürülen 'HTTP/2 hızlı sıfırlama' adı verilen yeni bir sıfır günlük DDOS saldırı tekniği için azaltma yayınladı.
Bu saldırı, HTTP/2'nin akış iptal özelliğini, hedef sunucuyu/uygulamayı ezerek ve bir DOS durumu uygulamak için sürekli olarak talep göndermek ve iptal etmek için kötüye kullanır.
Özellik HTTP/2 standardına yerleştirildiğinden, protokolün hız sınırlaması veya engellenmesi dışında uygulanabilecek teknik için "düzeltme" yoktur.
Microsoft'un danışmanlıktaki azaltma adımları, web sunucunuzdaki HTTP/2 protokolünü devre dışı bırakmaktır. Bununla birlikte, daha fazla bilgi içeren HTTP/2 hızlı sıfırlama hakkında özel bir makale sağladılar.
Bu kusur bugün Cloudflare, Amazon ve Google tarafından koordineli bir açıklamada açıklandı.
Microsoft, CVE-2023-41763 ve CVE-2023-36563'ün kamuya açıklandığını söylüyor.
Ekim 2023'te güncellemeler veya tavsiyeler yayınlayan diğer satıcılar şunları içerir:
Aşağıda, Ekim 2023 Yaması Salı güncellemelerinde çözülmüş güvenlik açıklarının tam listesi bulunmaktadır.
Her güvenlik açığının ve etkilediği sistemlerin tam açıklamasına erişmek için raporun tamamını buradan görüntüleyebilirsiniz.
Microsoft Eylül 2023 Patch Salı 2 sıfır gün, 59 kusur düzeltiyor
Windows 11 KB5031354 Kümülatif Güncelleme Yeni özelliklerle yayınlandı
Windows 10 KB5031356 Güncellemesi 25 iyileştirme ile yayınlandı
Windows 11 KB5030219 24 düzeltme ile yayınlanan kümülatif güncelleme, değişiklikler
Windows 10 KB5030211 GÜNCELLEŞİMİ 11 iyileştirme ile yayınlandı
Kaynak: Bleeping Computer