Salı günü Microsoft, ürün portföyünü kapsayan ve üçü vahşi doğada aktif olarak sömürülen 75 kusuru gidermek için güvenlik güncellemeleri yayınladı.
Güncellemeler, Windows üreticisinin geçtiğimiz ay Chromium tabanlı Edge tarayıcısında yamaladığı 22 kusura ek olarak yapıldı.
75 güvenlik açığından dokuzu Kritik olarak derecelendirilmiştir ve 66’sı önem derecesinde Önemli olarak derecelendirilmiştir. 75 hatadan 37’si uzaktan kod yürütme (RCE) kusurları olarak sınıflandırılır. İstismar edilen üç sıfır günlük not aşağıdaki gibidir:
- CVE-2023-21715 (CVSS puanı: 7.3) – Microsoft Office Güvenlik Özelliği Güvenlik Açığı Atlama
- CVE-2023-21823 (CVSS puanı: 7.8) – Windows Grafik Bileşeninde Ayrıcalık Yükselmesi Güvenlik Açığı
- CVE-2023-23376 (CVSS puanı: 7.8) – Windows Ortak Günlük Dosya Sistemi (CLFS) Sürücü Ayrıcalık Yükselmesi Güvenlik Açığı
Microsoft, CVE-2023-21715 danışma belgesinde “Saldırının kendisi, hedeflenen sistemde kimlik doğrulaması olan bir kullanıcı tarafından yerel olarak gerçekleştirilir” dedi.
“Kimliği doğrulanmış bir saldırgan, bir kurbanı sosyal mühendislik aracılığıyla bir web sitesinden özel hazırlanmış bir dosyayı indirip açmaya ikna ederek bu güvenlik açığından yararlanabilir ve bu da kurbanın bilgisayarına yerel bir saldırıya yol açabilir.”
Yukarıdaki kusurların başarılı bir şekilde kullanılması, bir düşmanın güvenilmeyen veya kötü amaçlı dosyaları engellemek veya SİSTEM ayrıcalıkları kazanmak için kullanılan Office makro ilkelerini atlamasına olanak sağlayabilir.
CVE-2023-23376 ayrıca, Microsoft tarafından Nisan ve Eylül 2022’de ele alınan CVE-2022-24521 ve CVE-2022-37969’dan (CVSS puanları: 7,8) sonra CLFS bileşeninde aktif olarak kullanılan üçüncü sıfır gün kusurudur.
Immersive Labs’tan Nikolas Cemerikiç, “Windows Ortak Günlük Dosya Sistemi Sürücüsü, Windows işletim sisteminin yüksek performanslı, işleme dayalı bir günlük dosya sistemini yöneten ve sürdüren bir bileşenidir.” dedi.
“Bu, Windows işletim sisteminin temel bir bileşenidir ve bu sürücüdeki herhangi bir güvenlik açığı, sistemin güvenliği ve güvenilirliği üzerinde önemli etkilere sahip olabilir.”
Android için Microsoft OneNote’un CVE-2023-21823’e karşı savunmasız olduğunu ve not alma hizmetinin kötü amaçlı yazılım dağıtmak için bir kanal olarak giderek daha fazla ortaya çıkmasıyla, kullanıcıların düzeltmeleri uygulaması çok önemlidir.
Exchange Sunucusu, ODBC Sürücüsü, PostScript Yazıcı Sürücüsü ve SQL Server’daki birden çok RCE kusurunun yanı sıra Windows iSCSI Hizmetini ve Windows Güvenli Kanalı etkileyen hizmet reddi (DoS) sorunları da Microsoft tarafından ele alınmaktadır.
Exchange Server kusurlarından üçü, şirket tarafından “Sömürü Daha Muhtemel” olarak sınıflandırılıyor, ancak başarılı bir şekilde yararlanma, saldırganın zaten kimliğinin doğrulanmış olmasını gerektiriyor.
Hassas bilgilere yetkisiz erişim sağlayabildikleri veya İş E-postası Ele Geçirme (BEC) saldırılarını kolaylaştırabildikleri için, Exchange sunucularının son yıllarda yüksek değerli hedefler olduğu kanıtlanmıştır.
Diğer Satıcılardan Yazılım Yamaları
Microsoft’un yanı sıra, son birkaç hafta içinde diğer satıcılar tarafından aşağıdakiler de dahil olmak üzere çeşitli güvenlik açıklarını gidermek için güvenlik güncelleştirmeleri yayınlandı: