Nye Exchange Server-sårbarheder afsløret i Microsofts Patch Tuesday

Af Eskil Sørensen, 12/05/21

Patch Tuesday har rettet 55 sårbarheder i Microsofts produkter. Også andre leverandører som Adobe, Android, Apple, Google, Cisco, SAP og VMware har udsendt opdateringer.  

Microsoft har i dag udsendt sikkerhedsopdateringer til deres produkter. Opdateringerne adresserer tre 0-dagssårbarheder. I alt rettes 55 sårbarheder, hvoraf fire er klassificeret som kritiske, 50 som vigtige og en som moderat. De tre 0-dagssårbarheder, der er blevet patched, vides ikke at blive brugt i angreb pt.

Tre 0-dagssårbarheder rettet

De følgende tre sårbarheder blev offentligt afsløret af Microsoft:

  • CVE-2021-31204 - .NET and Visual Studio Elevation of Privilege Vulnerability
  • CVE-2021-31207 - Microsoft Exchange Server Security Feature Bypass Vulnerability (blev brugt i 2021 Pwn2Own hacking challenge event).
  • CVE-2021-31200 - Common Utilities Remote Code Execution Vulnerability – denne er til Microsofts NNI-værktøjssæt (Neural Network Intelligence).CVE-2021-31207 Microsoft Exchange

Det forventes, at trusselaktører vil analysere opdateringerne for at skabe udnyttelser til sårbarhederne, især den til Microsoft Exchange. Derfor anbefaler Microsoft, at sikkerhedsopdateringerne implementeres så hurtigt som muligt.

De øvrige fejl ligger i hhv. .NET Core & Visual Studio, Internet Explorer, Microsoft Bluetooth Driver, Microsoft Exchange Server, Microsoft Graphics Component, Microsoft Office (Excel, Sharepoint & Word), Role: Hyper-V, Skype for Business and Microsoft Lync, Visual Studio, Windows Container Manager Service, Windows OLE, Windows RDP Client, Windows Wireless Networking m.fl.

Seneste opdateringer fra andre virksomheder

Andre leverandører, som har udgivet opdateringer i maj, inkluderer:

  • Adobe frigav sikkerhedsopdateringer til Adobe Creative Cloud Desktop, Framemaker og Connect.
  • Androids sikkerhedsopdateringer i maj blev frigivet i sidste uge.
  • Apple frigav sikkerhedsopdateringer til iOS, macOS, iPadOS, watchOS og Safari, der løste nogle aktivt udnyttet Webkit sårbarheder.
  • Cisco udgav sikkerhedsopdateringer til adskillige produkter denne måned.
  • SAP frigav sine maj 2021 sikkerhedsopdateringer.
  • VMware har ligeledes udgivet sikkerhedsopdateringer i maj.

Links

https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2021-patch-tuesday-fixes-55-flaws-3-zero-days/

https://us-cert.cisa.gov/ncas/current-activity/2021/05/11/microsoft-releases-may-2021-security-updates

https://blog.talosintelligence.com/2021/05/microsoft-patch-tuesday-for-may-2021.html