Patch Tuesday: Microsoft patcher kritiske sårbarheder

Af Eskil Sørensen, 14/06/23

Advarer om risici for afvikling af kode.

Microsoft har sendt opdateringer til håndtering af over 70 sårbarheder i forbindelse med den månedlige patch Tuesday. Opdateringerne retter ifølge Security Week og en række andre medier en ’massiv serie af softwareopdateringer’ Windows-operativsystem og softwarekomponenter.

Af de mest alvorlige sårbarheder findes seks kritiske, der kan udnyttes til afvikling af kode. Ifølge Microsoft er ingen af sårbarhederne blevet offentligt diskuteret eller udnyttet ’in-the-wild’.

Tre af de seks fejl findes i Windows Pragmatic General Multicast (PGM)-protokollen, der bruges til at levere pakker mellem flere netværksmedlemmer. Alle tre PGM-sårbarheder har en CVSS-score på 9,8 og kan udnyttes af en ekstern, uautoriseret angriber til at udføre kode på et berørt system. De tre sårbarheder har id’erne CVE-2023-29363, CVE-2023-32014 og CVE-2023-32015.

Ifølge Zero Day Initiative fra Trend Micro er det tredje måned i træk med kritiske fejl i PGM-protokollen. PGM er ikke aktiveret som standard.

Security Week skriver, at en RCE-fejl i Microsoft Exchange Server også påkalder sig opmærksomhed blandt eksperter. Fejlen har id’et CVE-2023-32021, som ved udnyttelse gør det muligt for angribere at omgå problemer, som tidligere blev udnyttet. Uofficielle kilder betegner sårbarheden til at være ’mellem’. Udnyttelse kræver, at en angriber har en konto på Exchange-serveren. Er det tilfældet, kan udnyttelse føre til afvikling af kode med SYSTEM-rettigheder," forklarede ZDI.

Patch Tuesday indeholder også en rettelse til CVE-2023-3079, som er en ’type confusion’-sårbarhed i Chrome (Chromium).

En liste med alle sårbarheder findes på ZDIs hjemmeside.