Архив метки: SecureBoot

Первые впечатления от апрельского Microsoft Patch Tuesday

Добавить комментарий

Первые впечатления от апрельского Microsoft Patch Tuesday
Первые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch TuesdayПервые впечатления от апрельского Microsoft Patch Tuesday

Первые впечатления от апрельского Microsoft Patch Tues­day. Даже не знаю. 🤪 Очень чуднО! 173 уязвимости, из них 23 набежало с прошлого Patch Tues­day.

Microsoft выделяет одну уязвимость с признаком эксплуатации вживую: Spoof­ing — Proxy Dri­ver (CVE-2024–26234). И её упоминает только Qualys и то мельком. Буквально так: "Microsoft has not dis­closed any infor­ma­tion about the vul­ner­a­bil­i­ty". 😅 ZDI ещё утверждает, что вживую эксплуатируется Secu­ri­ty Fea­ture Bypass — SmartScreen Prompt (CVE-2024–29988), которая представляет собой обход Mark of the Web (MotW).

Эксплоитов пока ни для чего нет. Выделить можно следующие уязвимости:

🔸 Remote Code Exe­cu­tion — Microsoft Excel (CVE-2024–26257). Эксплуатируется при открытии специально подготовленного файла.
🔸 Remote Code Exe­cu­tion — RPC (CVE-2024–20678). Её подсвечивает ZDI и заявляет о 1.3 млн. выставленных TCP 135 портов.
🔸 Spoof­ing — Out­look for Win­dows (CVE-2024–20670). ZDI пишет, что это Infor­ma­tion Dis­clo­sure, которая может использоваться в NTLM relay атаках.
🔸 Remote Code Exe­cu­tion — Win­dows DNS Serv­er (CVE-2024–26221, CVE-2024–26222, CVE-2024–26223, CVE-2024–26224, CVE-2024–26227, CVE-2024–26231, CVE-2024–26233). Может что-то из этого и стрельнёт, ZDI особенно выделяет CVE-2024–26221.
🔸 Remote Code Exe­cu­tion — Microsoft Defend­er for IoT (CVE-2024–21322, CVE-2024–21323, CVE-2024–29053). Это решение для безопасности IoT и ICS/OT, может быть on-prem.

Есть просто неприлично массовые фиксы:

🔹 Remote Code Exe­cu­tion — Microsoft OLE DB Dri­ver for SQL Serv­er / Microsoft WDAC OLE DB Provider for SQL Serv­er / Microsoft WDAC SQL Serv­er ODBC Dri­ver. 28 CVE! Даже перечислять здесь все не буду. 😨
🔹 Secu­ri­ty Fea­ture Bypass — Secure Boot. 23 CVE!

🗒 Отчёт Vul­ris­tics

Upd. 10.04 Немного подтюнил детект типа уязвимости, чтобы повысить приоритет детекта по генерённому описанию Microsoft по сравнению с детектом на основе CWE. В частности поменялся тип уязвимости для Spoof­ing — Proxy Dri­ver (CVE-2024–26234) и Spoof­ing — Out­look for Win­dows (CVE-2024–20670).

Выпустил эпизод про майский Microsoft Patch Tuesday

1 комментарий

Выпустил эпизод про майский Microsoft Patch Tues­day. Первые впечатления оказались вполне верными. Добавил ещё 4 уязвимости, которые выглядят многообещающе, расширил описание и указал на пару странностей в EPSS.

———

Hel­lo every­one! This episode will be about Microsoft Patch Tues­day for May 2023, includ­ing vul­ner­a­bil­i­ties that were added between April and May Patch Tues­days. As usu­al, I use my open source Vul­ris­tics project to analyse and pri­or­i­tize vul­ner­a­bil­i­ties. I took the com­ments about the vul­ner­a­bil­i­ties from the Qualys, Ten­able, Rapid7, ZDI Patch Tues­day reviews. It's been a long time since we've had such tiny Patch Tues­day. 57 CVEs, includ­ing CVEs appeared dur­ing the month. And only 38 with­out them! 😄

Urgent
00:45 Mem­o­ry Cor­rup­tion – Microsoft Edge (CVE-2023–2033)

Crit­i­cal
01:17 Secu­ri­ty Fea­ture Bypass – Secure Boot (CVE-2023–24932)
02:55 Mem­o­ry Cor­rup­tion – Microsoft Edge (CVE-2023–2136)

High
03:11 Remote Code Exe­cu­tion – Win­dows OLE (CVE-2023–29325)
04:20 Ele­va­tion of Priv­i­lege – Win­dows Win32k (CVE-2023–29336)
05:19 Remote Code Exe­cu­tion – Win­dows Net­work File Sys­tem (CVE-2023–24941)
06:07 Remote Code Exe­cu­tion – Win­dows Prag­mat­ic Gen­er­al Mul­ti­cast (PGM) (CVE-2023–24943)
06:58 Remote Code Exe­cu­tion – Win­dows Light­weight Direc­to­ry Access Pro­to­col (LDAP) (CVE-2023–28283)
07:31 Remote Code Exe­cu­tion – Microsoft Share­Point (CVE-2023–24955)

🎞 Video
🎞 Video2 (for Rus­sia)
📘 Blog­post
🗒 Vul­ris­tics report