تصحيح الثلاثاء كشفت شركة مايكروسوفت عن 90 عيبًا في منتجاتها – ستة منها تم استغلالها بالفعل – وأربعة أخرى مدرجة على أنها معروفة للعامة.
هناك عشرة تحديثات أخرى في القائمة من جهات خارجية تم تضمينها الآن في تحديث Microsoft الشهري. أتمنى لكم جميعًا يوم الثلاثاء التصحيحي في أغسطس.
من إجمالي 102 خطأ مسجلة هذا الشهر، تم تصنيف تسعة منها على أنها حرجة – ولكن حتى الآن يبدو أنه لم يتم العثور على أي منها وإساءة استغلالها من قبل الأشرار.
لذا دعونا نبدأ بالأخطاء الستة التي يتم استغلالها بشكل نشط:
سي في إي-2024-38189 – ثغرة تنفيذ التعليمات البرمجية عن بُعد في Microsoft Project بتقييم CVSS 8.8. والخبر السيئ هو أنها ثغرة تنفيذ التعليمات البرمجية عن بُعد وتم استغلالها قبل إصدار إصلاح لها.
الخبر السار هو أن الاستغلال يتطلب تعطيل بعض ميزات الأمان قبل أن يتمكن المهاجم من تنفيذ التعليمات البرمجية عن بُعد على جهاز الضحية. بافتراض أن المجرم يمكنه العثور على نظام تشغيل وحدات الماكرو التي تم تنزيلها من الإنترنت, و كما لديه أيضا منع تشغيل وحدات الماكرو في ملفات Office من الإنترنت تم تعطيل السياسة و إذا أقنعت الضحية بفتح ملف ضار، فإن اللعبة انتهت. من الواضح أن شخصًا ما نجح في تجاوز هذه العقبات، على الرغم من أننا لا نملك أي تفاصيل حول الاستغلال أو مدى انتشاره.
سي في إي-2024-38178 – ثغرة إتلاف ذاكرة محرك النصوص البرمجية والتي حصلت على 7.5 درجة CVSS. تقول شركة Microsoft أن تعقيد الهجوم مرتفع في هذه الثغرة، وتتطلب من الضحية استخدام Edge في وضع Internet Explorer. من الواضح أن بعض المنظمات ومواقعها الإلكترونية لا تزال تحب متصفح الويب الميت هذا الذي توقفت Microsoft عن دعمه منذ عامين.
بمجرد أن يكون Edge في وضع Internet Explorer، إذا تمكن المهاجم من إقناع الضحية بالنقر فوق عنوان URL مصمم خصيصًا، فيمكنه تنفيذ التعليمات البرمجية عن بعد على جهاز الضحية.
وينسب ريدموند الفضل في العثور على هذه الثغرة والإبلاغ عنها إلى مركز الأمن السيبراني الوطني في كوريا الجنوبية ومختبر AhnLab.
سي في إي-2024-38193 – برنامج تشغيل وظيفة مساعدة في نظام التشغيل Windows مصنف بدرجة 7.8 لثغرة رفع امتيازات WinSock. قد تسمح هذه الثغرة للمهاجم بالحصول على امتيازات النظام.
كما قال داستن تشايلدز من مبادرة اليوم الصفري ذُكر:”عادةً ما تقترن هذه الأنواع من الأخطاء بخطأ في تنفيذ التعليمات البرمجية للسيطرة على هدف. لا تقدم Microsoft أي إشارة إلى مدى اتساع نطاق استغلال هذا الخطأ، ولكن بالنظر إلى المصدر، إذا لم يكن موجودًا بالفعل في برامج الفدية، فمن المحتمل أن يكون موجودًا قريبًا.”
كشف صائدو الأخطاء في شركة Gen Digital، لويجينو كاماسترا وميلانيك، عن الخلل إلى ريدموند.
سي في إي-2024-38106 – ثغرة رفع امتيازات نواة Windows مع تصنيف CVSS 7.0.
يتطلب استغلال هذا الخطأ أن يفوز المهاجم بشرط سباق، لكن ريدموند لم يقدم أي تفاصيل حول ما ينطوي عليه هذا السباق. ولكن بمجرد حدوث ذلك، يمكن للمجرم الحصول على امتيازات النظام. لقد تم استغلاله، لذا قم بإصلاحه قريبًا.
سي في إي-2024-38107 – ثغرة رفع الامتيازات في Windows Power Dependency Coordinator المصنفة بدرجة 7.8. وقد تؤدي أيضًا إلى انتهاك امتيازات النظام وقد تم استغلالها بشكل غير قانوني.
سي في إي-2024-38213 – ثغرة تجاوز ميزة أمان الويب في Windows Mark of the Web Security Feature والتي حصلت على تصنيف 6.5 CVSS.
اكتشف الباحث بيتر جيرنوس من ZDI هذه الثغرة الأمنية وأبلغ عنها، والتي تسمح للمهاجم بتجاوز ميزة الأمان SmartScreen. ومع ذلك، فإنها تتطلب العلامة لفتح ملف ضار.
- AMD لن تقوم بإصلاح ثغرة الأمان Sinkclose في وحدات المعالجة المركزية Zen القديمة
- هل تستخدم 1Password على جهاز Mac؟ قم بإصلاح المشكلة إذا كنت لا تريد أن يتم اقتحام خزائنك
- جوجل تهاجم استغلال ثغرة في نواة أندرويد تتيح اختراق الأجهزة وغيرها من الأخطاء
- ست عصابات برامج الفدية مسؤولة عن أكثر من 50% من الهجمات في عام 2024
أدرجت شركة Microsoft أربع نقاط ضعف تم الكشف عنها علنًا، رغم أنها لم يتم استغلالها بعد، لذا ربما يمكنك وضع هذه النقاط على رأس قائمة التصحيحات الخاصة بك:
- سي في إي-2024-38200 – ثغرة انتحال الهوية في Microsoft Office بتقييم CVSS 6.5.
- سي في إي-2024-38199 – ثغرة RCE في خدمة Windows Line Printer Daemon (LPD) مع تصنيف CVSS 9.8.
- سي في إي-2024-21302 – ثغرة رفع الامتيازات في وضع Kernel Secure Windows مع تصنيف CVSS 6.7.
- سي في إي-2024-38202 – ثغرة رفع الامتيازات في Windows Update Stack مع تصنيف CVSS 7.3.
Adobe تعالج 71 ثغرة أمنية خطيرة
قامت Adobe هذا الشهر بإصلاح 71 CVE في 11 تحديثًا عبر الرسام التوضيحي, البعد, فوتوشوب, إنديزاين, أكروبات و ريدر, كوبري, برنامج Substance 3D Stager, تجارة, إنكوبي, عينة ثلاثية الأبعاد، و مصمم ثلاثي الأبعاد وتؤكد شركة Adobe أنها لا تعلم بوجود أي ثغرات في أي من العيوب التي تم إصلاحها الآن.
يعد برنامج Commerce هو الأكثر تضررًا من بين المجموعة، حيث يحتوي على سبع نقاط ضعف مصنفة على أنها حرجة. وقد عالج برنامج InDesign 13 نقطة ضعف خطيرة، بينما قام برنامج Acrobat وReader بإصلاح 12 نقطة ضعف خطيرة – وكلاهما يتضمن نقاط ضعف خطيرة.
SAP تصدر 25 تصحيحًا أمنيًا
أصدرت شركة SAP هذا الشهر 25 تصحيحًا أمنيًا جديدًا أو محدثًا، بما في ذلك ملاحظتان من HotNews وأربع ملاحظات ذات أولوية عالية. ويقول توماس فريتش، باحث الأمن في شركة SAP في Onapsis، إن هذا العدد أعلى من المتوسط بالنسبة لصانع البرامج.
من ملاحظات HotNews الجديدة، رقم #3479478 (سي في إي-2024-41730) حصل على تصنيف CVSS 9.8 ويعالج ثغرة رفض الخدمة في منصة SAP BusinessObjects Business Intelligence.
“إذا تم تمكين مصادقة تسجيل الدخول الفردي للمؤسسة، فيمكن للمستخدم غير المصرح له الحصول على رمز تسجيل الدخول باستخدام نقطة نهاية REST،” Fritsch حذر“يمكن للمهاجم اختراق النظام بالكامل مما يؤدي إلى تأثير كبير على السرية والنزاهة والتوافر.”
43 نقطة ألم أخرى لشركة إنتل
انضمت شركة Intel إلى حفلة التصحيح هذا الشهر بإصدار ضخم 43 استشارات أمنية تسد العديد من الثغرات في البرامج والأجهزة. تم تصنيف تسعة منها على أنها عيوب شديدة الخطورة، لذا فلنبدأ من هنا:
وحدات التحكم ومحولات إيثرنت من Intel إصلاح الثغرات الأمنية الشائعة (CVE) التي قد تسمح بتصعيد الامتياز أو رفض الخدمة.
أخطاء في بعض البرامج الثابتة لـ BIOS Intel NUC قد يسمح بتصعيد الامتيازات ورفض الخدمة والإفصاح عن المعلومات.
نقاط الضعف في معالج إنتل كور ألترا و معالج إنتل قد تسمح آليات تخزين البيانات المؤقتة بتصعيد الامتيازات.
عيوب في امتدادات نطاقات Intel Trust قد يسمح برنامج وحدة (Intel TDX) برفض الخدمة.
ثغرة أمنية في جهاز مراقبة نقل SMI (STM) قد يسمح بتصعيد الامتياز.
عيوب في بعض البرامج الثابتة لـ Intel Agilex FPGA وبعض البرامج الثابتة لعائلة Intel Server Board S2600ST قد يسمح بتصعيد الامتياز.
وأخيرا، بعض أدوات Intel UEFI Integrator على Aptio V لـ Intel NUC معرضون لخطر تصعيد خطأ الامتياز. ®