التصحيح الثلاثاء استقبلت Microsoft العام الجديد بتصحيح هادئ نسبيًا يوم الثلاثاء: 49 تحديثًا أمنيًا لنظام التشغيل Windows فقط، بما في ذلك إصلاحات لاثنين من الأخطاء ذات التصنيف الحرج، بالإضافة إلى أربعة عيوب شديدة الخطورة في Chrome في Microsoft Edge.
وفقًا لريدموند، لم يتعرض أي من برامج مكافحة التطرف العنيف لشهر يناير للاستغلال النشط. من بين نقطتي الضعف الخطيرتين، CVE-2024-20674 حصل على أعلى تصنيف خطورة CVSS. إنها ميزة أمان مصنفة 9.0 من أصل 10 لتجاوز الأخطاء في Windows Kerberos.
“يمكن لمهاجم غير مصادق عليه استغلال هذه الثغرة الأمنية عن طريق إنشاء هجوم جهاز في الوسط (MITM) أو أي أسلوب آخر لانتحال الشبكة المحلية، ثم إرسال رسالة Kerberos ضارة إلى جهاز العميل الضحية لانتحال نفسه كخادم مصادقة Kerberos.” وأوضحت مايكروسوفت.
والخبر السار هو أنه قبل شن الهجوم، سيحتاج المجرم أولاً إلى الوصول إلى الشبكة. ومع ذلك، أدرج ريدموند هذا النوع من مكافحة التطرف العنيف على أنه “استغلال أكثر احتمالا”، وهو ليس الوحيد في هذا الافتراض.
مثل داستن تشايلدز في مبادرة Zero Day ملحوظات، هذا “يعني أنهم يتوقعون رؤية كود الاستغلال العام في غضون 30 يومًا. تأكد من اختبار هذا التحديث ونشره بسرعة.”
تم إصلاح التحديث الثاني ذو التصنيف الحرج CVE-2024-20700، خطأ في تنفيذ التعليمات البرمجية عن بعد (RCE) بتصنيف 7.5 في برنامج Hypervisor الخاص بنظام التشغيل Windows Hyper-V. استغلال هذه الثغرة ليس بالأمر السهل: يجب أن يكون المهاجم داخل الشبكة لاستغلال المشكلة والفوز بحالة سباق. التفاصيل ضئيلة خلاف ذلك.
قال بن مكارثي، كبير مهندسي الأمن السيبراني في Immersive Labs، إنه على الرغم من إدراجه على أنه أقل احتمالية للاستغلال، نظرًا لأن Hyper-V يعمل كأعلى الامتيازات في الجهاز، إلا أنه “يستحق التفكير في التصحيح”. السجل.
بخلاف ذلك فإن حزمة التصحيح ليست سيئة للغاية، نسبيًا. هناك أربعة عيوب “عالية” التصنيف – جميعها في Chromium – وتم تصنيف الباقي على أنه “هام”.
شهر بطيء بالنسبة لشركة Adobe أيضًا
أصدرت شركة Adobe تحديثًا أمنيًا واحدًا لنظامها مادة 3D Stager منتج يعمل على إصلاح ست نقاط ضعف، جميعها مصنفة على أنها “مهمة”، والتي قد تسمح بتسرب الذاكرة وتنفيذ تعليمات برمجية عشوائية. لحسن الحظ، لا يبدو أنه قد تم استغلال أي من التهديدات الشائعة قبل التصحيح.
يدفع SAP 12 تصحيحًا
العصارة صادر 12 تصحيحًا جديدًا ومحدثًا، بما في ذلك ثلاث ملاحظات HotNews وأربع ملاحظات ذات أولوية عالية. اثنتان من ملاحظات NotNews جديدتان، وحصلت الثلاثة جميعًا على درجات 9.1 في نظام CVSS.
تتناول إحدى ملاحظات HotNews الجديدة، #3413475، تصاعد ثغرة الامتيازات في SAP Edge Integration Cell بسبب CVE-2023-49583 وCVE-2023-50422. الآخر، #3412456، يعمل أيضًا على إصلاح تصعيد الامتيازات في التطبيقات التي تم تطويرها من خلال SAP Business Application Studio أو SAP Web IDE Full-Stack أو SAP Web IDE لـ SAP HANA.
- تعرض Apache OFBiz Zero-day لمحاولات استغلال بعد الكشف عنه
- وهذا هو غلاف برنامج الفدية Babuk Tortilla حيث تم إصدار برنامج فك التشفير مجانًا
- حظر دفع برامج الفدية: فكرة خاطئة في الوقت الخطأ
- بعد حقن مستشفى السرطان ببرامج الفدية، يهدد المجرمون بضرب المرضى
قد تتأثر هذه التطبيقات أيضًا بالرقم CVE-2023-49583، وفقًا لتوماس فريتش، الباحث الأمني في SAP في Onapsis. وذلك لأن “تبعياتهم قد تشير إلى إصدارات ضعيفة من المكتبات @sap/approuter و @sap/xssec“، أشار فريتش. “لذلك، توصي الملاحظة رقم 3412456 بترقية تبعيات تطبيقات Node.js الحالية إلى أحدث الإصدارات من هذه المكتبات المقدمة مع مذكرة أمان SAP رقم 3411067.”
حقيبة مختلطة لسيسكو
أصدرت شركة سيسكو التحديث النهائي لاثنين من التهديدات الشائعة لتصعيد الامتيازات في محرك خدمات الهوية (ISE) الذي تم الكشف عنه في الأصل في سبتمبر. يتم تعقب الأخطاء باسم CVE-2023-20193 وCVE-2023-20194 والأخير فقط هو الذي يحتوي على تصحيح.
CVE-2023-20193، الذي لم يتم إصلاحه، يرجع إلى إدارة الامتيازات غير الصحيحة في جهاز توجيه الخدمة المضمن (ESR) الخاص بـ Cisco ISE. استغلال هذا الخطأ “قد يسمح للمهاجم المحلي المعتمد بقراءة أو كتابة أو حذف الملفات التعسفية الموجودة على نظام التشغيل الأساسي وتصعيد امتيازاته إلى الجذر”، وفقًا لعملاق الشبكات.
هناك أمران يجب ملاحظتهما حول هذا الخلل: أولاً، يجب أن يتمتع المهاجم بامتيازات صالحة على مستوى المسؤول على الأجهزة المتضررة حتى يتمكن من تنفيذ الهجوم بنجاح. وثانيًا، لا يتم تمكين ERS بشكل افتراضي. ليست مشكلة كبيرة إذن، ولكنها تستحق الإصلاح إذا لزم الأمر.
وأندرويد
نشرة Google الأمنية لشهر يناير ذكري المظهر يعالج 59 من برامج مكافحة التطرف العنيف، ولكن يبدو أنه لم يتم العثور على أي منها واستغلالها من قبل المجرمين قبل التصحيحات.
أخطر هذه المجموعة موجود في مكونات الإطار. تقول Google إن هذا سيؤدي إلى تصعيد محلي للامتيازات دون الحاجة إلى امتيازات تنفيذ إضافية. ®