Microsoft bugün en az beş düzine güvenlik açığını giderecek yazılım güncellemeleri yayınladı. pencereler ve hâlihazırda istismar edilmekte olan iki sıfır gün güvenlik açığına yönelik yamalar da dahil olmak üzere desteklenen yazılımlar. Ayrıca, Adobe, Google Chrome Ve elma iOS’u kullanıcıların kendi sıfır gün düzeltme eklerini yapmaları gerekebilir.
7 Eylül’de araştırmacılar Vatandaş Laboratuvarı kurbanın herhangi bir etkileşimi olmadan iOS cihazlarına casus yazılım yüklemek için “sıfır tıklama” sıfır gün kusurunun aktif olarak kullanıldığını gördükleri konusunda uyardı.
Araştırmacılar, “Kötüye kullanım zinciri, kurbanın herhangi bir etkileşimi olmadan iOS’un en son sürümünü (16.6) çalıştıran iPhone’ları tehlikeye atabilecek kapasitedeydi” diye yazdı.
Citizen Lab’e göre bu istismar, aracılığıyla gönderilen kötü amaçlı görüntüleri kullanıyor. iMesajiPhone ve iPad’lerdeki daha önceki sıfır tıklama kusurlarının kaynağı olan, Apple’ın iOS’unun yerleşik bir bileşenidir.
Apple iOS kusurunu söylüyor (CVE-2023-41064) aşırı paranoyak özelliklere sahip cihazlara karşı işe yaramıyor gibi görünüyor “Kilitleme Modu” etkinleştirilmiş. Bu özellik, cihazın genel saldırı yüzeyini azaltmak için gerekli olmayan iOS özelliklerini kısıtlar ve hedefli saldırılara maruz kalabileceklerinden endişe duyan kullanıcılar için tasarlanmıştır. Citizen Lab, keşfettiği hatanın İsrail siber gözetim şirketi NSO Group tarafından üretilen casus yazılımları yüklemek için kullanıldığını söyledi.
Bu güvenlik açığı iOS 16.6.1 ve iPadOS 16.6.1’de düzeltilmiştir. iOS 16’da Kilitleme Modunu açmak için Ayarlar’a, ardından Gizlilik ve Güvenlik’e ve ardından Kilitleme Modu’na gidin.
Sıfır gün eğlencesinin dışında kalmamak için Google, 11 Eylül’de Chrome’daki yığın taşması hatasına yönelik bir açıktan yararlanıldığını doğruladı. Google, kusuru düzeltmek için güncellemeler yayınladığını ve bekleyen güncellemeleri uygulamanın yolunun Chrome’u yeniden başlatmak olduğunu söylüyor. İlginç bir şekilde Google, bu hatanın Apple ve Citizen Lab tarafından bildirildiğini söylüyor.
Microsoft cephesinde sıfır gün Microsoft Word bugün düzeltilen en endişe verici hatalardan biridir. CVE-2023-36761 olarak izlenen bu güvenlik açığı, “bilginin açığa çıkması” güvenlik açığı olarak işaretleniyor. Ancak bu açıklama, burada potansiyel olarak açığa çıkan bilgilerin hassasiyetini pek kavrayamıyor.
Tom Bowyerürün güvenliği müdürü Automoxbu güvenlik açığından yararlanmanın Windows ortamlarında kimlik doğrulama için kullanılan Net-NTLMv2 karmalarının açığa çıkmasına yol açabileceğini söyledi.
Bowyer, “Kötü niyetli bir aktör bu karmalara erişim kazanırsa, potansiyel olarak kullanıcının kimliğine bürünerek hassas veri ve sistemlere yetkisiz erişim elde edebilir” dedi ve CVE-2023-36761’in yalnızca Windows’ta kötü amaçlı bir belge görüntüleyerek istismar edilebileceğini belirtti. önizleme bölmesi. “Ayrıca, saldırganın şifreyi çözmeye gerek kalmadan kimlik doğrulaması yapmak için şifrenin karma sürümünü kullandığı karma geçiş saldırıları da gerçekleştirebilirler.”
Bu ay düzeltilen diğer Windows sıfır gün sorunu CVE-2023-36802’dir. Bu, Windows 10, 11 ve Windows Server sürümlerinde yerleşik olarak bulunan “Microsoft Akış Hizmeti Proxy’sindeki” ayrıcalık yükselmesi ” kusurudur. Microsoft, hatayı başarıyla kullanan bir saldırganın Windows bilgisayarda SİSTEM düzeyinde ayrıcalıklar elde edebileceğini söylüyor.
Microsoft’un bu ay düzelttiği kusurlardan beşi, yazılım devinin, Windows kullanıcılarının çok az etkileşimi veya hiç etkileşimi olmadan kötü amaçlı yazılımlar veya hoşnutsuz kişiler tarafından kullanılabilecek güvenlik açıkları için ayırdığı “kritik” derecesini aldı.
SANS İnternet Fırtınası Merkezi’ne göre, Eylül Salı Yaması’ndaki en ciddi kritik hata, CVE-2023-38148’dir. İnternet bağlantısı paylaşmak Windows’ta hizmet. Microsoft, kimliği doğrulanmamış bir saldırganın, güvenlik açığı bulunan bir Windows sistemine özel hazırlanmış bir veri paketi göndererek kötü amaçlı yazılım yüklemek için bu kusurdan yararlanabileceğini söylüyor.
Son olarak Adobe, kritik güvenlik güncellemelerini yayınladı. Adobe okuyucu Ve Akrobat sıfır gün güvenlik açığını da gideren yazılım (CVE-2023-26369). Daha fazla ayrıntıyı Adobe’nin danışma belgesinde bulabilirsiniz.
Bugün yayınlanan Windows güncellemelerinin daha ayrıntılı bir dökümü için Morphus Labs’ın Salı günü Microsoft Patch’ine göz atın. Bu arada, Windows’u güncellemeden önce verilerinizi yedeklemeyi düşünün ve Eylül Salı Yaması’nın bir parçası olarak yayınlanan güncellemelerden herhangi biriyle ilgili yaygın sorun raporları için AskWoody.com’u takip edin.