Архив метки: DNS

Первые впечатления от апрельского Microsoft Patch Tuesday

Добавить комментарий

Первые впечатления от апрельского Microsoft Patch Tuesday
Первые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch Tuesday

Первые впечатления от апрельского Microsoft Patch Tues­day. Даже не знаю. 🤪 Очень чуднО! 173 уязвимости, из них 23 набежало с прошлого Patch Tues­day.

Microsoft выделяет одну уязвимость с признаком эксплуатации вживую: Spoof­ing — Proxy Dri­ver (CVE-2024–26234). И её упоминает только Qualys и то мельком. Буквально так: "Microsoft has not dis­closed any infor­ma­tion about the vul­ner­a­bil­i­ty". 😅 ZDI ещё утверждает, что вживую эксплуатируется Secu­ri­ty Fea­ture Bypass — SmartScreen Prompt (CVE-2024–29988), которая представляет собой обход Mark of the Web (MotW).

Эксплоитов пока ни для чего нет. Выделить можно следующие уязвимости:

🔸 Remote Code Exe­cu­tion — Microsoft Excel (CVE-2024–26257). Эксплуатируется при открытии специально подготовленного файла.
🔸 Remote Code Exe­cu­tion — RPC (CVE-2024–20678). Её подсвечивает ZDI и заявляет о 1.3 млн. выставленных TCP 135 портов.
🔸 Spoof­ing — Out­look for Win­dows (CVE-2024–20670). ZDI пишет, что это Infor­ma­tion Dis­clo­sure, которая может использоваться в NTLM relay атаках.
🔸 Remote Code Exe­cu­tion — Win­dows DNS Serv­er (CVE-2024–26221, CVE-2024–26222, CVE-2024–26223, CVE-2024–26224, CVE-2024–26227, CVE-2024–26231, CVE-2024–26233). Может что-то из этого и стрельнёт, ZDI особенно выделяет CVE-2024–26221.
🔸 Remote Code Exe­cu­tion — Microsoft Defend­er for IoT (CVE-2024–21322, CVE-2024–21323, CVE-2024–29053). Это решение для безопасности IoT и ICS/OT, может быть on-prem.

Есть просто неприлично массовые фиксы:

🔹 Remote Code Exe­cu­tion — Microsoft OLE DB Dri­ver for SQL Serv­er / Microsoft WDAC OLE DB Provider for SQL Serv­er / Microsoft WDAC SQL Serv­er ODBC Dri­ver. 28 CVE! Даже перечислять здесь все не буду. 😨
🔹 Secu­ri­ty Fea­ture Bypass — Secure Boot. 23 CVE!

🗒 Отчёт Vul­ris­tics

Upd. 10.04 Немного подтюнил детект типа уязвимости, чтобы повысить приоритет детекта по генерённому описанию Microsoft по сравнению с детектом на основе CWE. В частности поменялся тип уязвимости для Spoof­ing — Proxy Dri­ver (CVE-2024–26234) и Spoof­ing — Out­look for Win­dows (CVE-2024–20670).

Выпустил блогопост и видяшку по апрельскому Micorosoft Patch Tuesday Vulristics для англоязычного канала и блога

Добавить комментарий

Выпустил блогопост и видяшку по апрельскому Micorosoft Patch Tues­day Vul­ris­tics для англоязычного канала и блога. По сравнению с первыми впечатлениями добавились Microsoft Word RCE (CVE-2023–28311) с эксплоитом и Win­dows Prag­mat­ic Gen­er­al Mul­ti­cast (PGM) RCE (CVE-2023–28250) похожая на Queue­Jumper RCE в MSMQ. Также добавил много RCE в Win­dows DNS Serv­er, но что-то определенное по ним сказать сложно.

Crit­i­cal
00:50 Ele­va­tion of Priv­i­lege — Win­dows Com­mon Log File Sys­tem Dri­ver (CVE-2023–28252)
01:44 Remote Code Exe­cu­tion — Microsoft Word (CVE-2023–28311)

Oth­er
02:18 Remote Code Exe­cu­tion — Microsoft Mes­sage Queu­ing (CVE-2023–21554) (Queue­Jumper)
03:17 Remote Code Exe­cu­tion — Win­dows Prag­mat­ic Gen­er­al Mul­ti­cast (PGM) (CVE-2023–28250)
04:05 Lots of CVEs Remote Code Exe­cu­tion – Microsoft Post­Script and PCL6 Class Print­er Dri­ver (CVE-2023–24884, CVE-2023–24885, CVE-2023–24886, CVE-2023–24887, CVE-2023–24924, CVE-2023–24925, CVE-2023–24926, CVE-2023–24927, CVE-2023–24928, CVE-2023–24929, CVE-2023–28243)
04:24 Lots of CVEs Remote Code Exe­cu­tion – Win­dows DNS Serv­er (CVE-2023–28254, CVE-2023–28255, CVE-2023–28256, CVE-2023–28278, CVE-2023–28305, CVE-2023–28306, CVE-2023–28307, CVE-2023–28308)
04:32 Remote Code Exe­cu­tion — DHCP Serv­er Ser­vice (CVE-2023–28231)

Video: https://youtu.be/aLt5k18jOwY
Video2 (for Rus­sia): https://vk.com/video-149273431_456239123
Blog­post: https://avleonov.com/2023/04/28/microsoft-patch-tuesday-april-2023-clfs-eop-word-rce-msmq-queuejumper-rce-pcl6-dns-dhcp/
Vul­ris­tics report: https://avleonov.com/vulristics_reports/ms_patch_tuesday_april2023_report_with_comments_ext_img.html