Patch Tuesday: Retter 79 sårbarheder

Af Eskil Sørensen, 12/09/24

Syv kritiske og fire 0-dagssårbarheder blandt de mange andre

Det har været Patch Tuesday igen og det har affødt rettelse af 79 sårbarheder på tværs af Microsofts produkter: Kontor og kontorkomponenter: Azure, Dynamics Business Central, SQL Server, Windows Hyper-V, Mark of the Web (MOTW) og Remote Desktop Licensing Service.

Fire af sårbarhederne er blevet aktivt udnyttet som 0-dagssårbarheder, en fejl er offentligt kendt. Det skriver Security Affairs og en række andre medier.

De fire aktivt udnyttede sårbarheder er:

CVE-2024-38014 – Windows Installer-sårbarhed for udvidelse af rettigheder. Et succesfuldt angreb kan give en angriber SYSTEM-rettigheder. CVSS-score 7,8.
CVE-2024-38918 – Windows-“Mark of the Web Security Feature Bypass Vulnerability”. Udnyttelse af sårbarheden kan ske ved at hoste en ondsindet fil på en værts server og narre en bruger til at downloade og åbne den. Filen kan omgå Mark of the Web-forsvaret (MOTW) og potentielt kompromittere sikkerhedsfunktioner som SmartScreen Application Reputation og Windows Attachment Services-sikkerhedsprompter. CVSS-Score 5,4.
CVE-2024-38226 – Sårbarhed for omgåelse af Microsoft Publisher-sikkerhedsfunktioner. En angriber kan omgå Office-makropolitikker ved at narre en godkendt bruger til at downloade og åbne en specielt udformet fil fra et websted. Det kan kompromittere ofrets computer gennem social engineering. CVSS-score 7,4.
CVE-2024-43491 – Microsoft Windows Update RCE-sårbarhed. Der er tale om en sårbarhed i Servicing Stack, der har rullet rettelserne for nogle sårbarheder tilbage der påvirker valgfrie komponenter på Windows 10, version 1507 (oprindelig version udgivet juli 2015). CVSS-score 9,8.

Listen over Microsoft Patch Tuesday-sikkerhedsopdateringer fremgår af Zeroday initiatives omtale.