Elma Ve Microsoft yakın zamanda işletim sistemlerindeki onlarca güvenlik açığını gidermek için yazılım güncellemeleri yayınladı. Microsoft bugün en az 60 güvenlik açığını yamaladı Windows işletim sistemi. Bu arada Apple'ın yeni macOS Sonoma en az 68 güvenlik zayıflığını gideriyor ve iOS için en son güncellemeleri iki sıfır gün kusurunu düzeltiyor.
Geçen hafta Apple, amiral gemisi iOS platformuna acil bir yazılım güncellemesi yayınlayarak, yaygın olarak kullanılan güvenlik açıklarına yönelik en az iki sıfır gün istismarının (CVE-2024-23225 ve CVE-2024-23296) olduğu konusunda uyarıda bulundu. Güvenlik güncellemeleri şu adreste mevcuttur: iOS 17.4, iPadOS 17.4Ve iOS 16.7.6.
Elmalar Mac os işletim sistemi Sonoma 14.4 Güvenlik Güncellemesi onlarca güvenlik sorununu giderir. Jason Kitkabilgi güvenliği şefi Automoxbu güncellemede yamalanan güvenlik açıklarının çoğunlukla bellek güvenliği sorunlarından kaynaklandığını ve bu endişenin, bellek açısından güvenli programlama dillerinin benimsenmesi konusunda daha geniş bir endüstri tartışmasına yol açtığını söyledi. [full disclosure: Automox is an advertiser on this site].
26 Şubat 2024'te Biden yönetimi, bellek korumalı programlama dillerinin daha fazla benimsenmesi çağrısında bulunan bir rapor yayınladı. 4 Mart 2024'te Google, şirketin bellek güvenliği risklerine ilişkin bakış açısını ortaya koyan Secure by Design'ı yayınladı.
Neyse ki, bu ay Windows kullanıcılarını rahatsız eden herhangi bir sıfır gün tehdidi yok gibi görünüyor (en azından henüz). Satnam Narangkıdemli personel araştırma mühendisi savunulabilirMicrosoft'a göre, bu ayın Salı Yaması sürümündeki 60 CVE'den yalnızca altısının “istismar edilme olasılığı daha yüksek” olarak değerlendirildiğini belirtiyor.
Hatalardan yararlanma olasılığı daha yüksek olanlar çoğunlukla CVE-2024-26182 (Windows Çekirdeği), CVE-2024-26170 (Windows Bileşik Görüntü Dosya Sistemi (CimFS), CVE-2024-21437 (Windows Grafik Bileşeni) dahil olmak üzere “ayrıcalık yükselmesi güvenlik açıklarıdır” ) ve CVE-2024-21433 (Windows Yazdırma Biriktiricisi).
Narang, bu ayki Salı Yaması sürümünde CVE-2024-21390'ın özellikle ilgi çekici bir güvenlik açığı olduğunu vurguladı. Microsoft Kimlik Doğrulayıcıyazılım devinin çok faktörlü kimlik doğrulama uygulaması. Narang, bir saldırganın bu kusurdan yararlanabilmesi için ön koşulun, kötü amaçlı yazılım veya kötü amaçlı bir uygulama yoluyla cihazda zaten var olması olduğunu söyledi.
Narang, “Bir kurban Microsoft Authenticator uygulamasını kapatıp yeniden açtıysa, saldırgan çok faktörlü kimlik doğrulama kodlarını ele geçirebilir ve uygulamadaki hesapları değiştirebilir veya silebilir” dedi. “Tuş vuruşlarını izleyebilmeleri, verileri çalabilmeleri ve kullanıcıları kimlik avı web sitelerine yönlendirebilmeleri nedeniyle hedef cihaza erişim yeterince kötü; ancak amaç gizli kalmaksa, bu erişimi koruyabilir ve oturum açmak için çok faktörlü kimlik doğrulama kodlarını çalabilirler. şifreleri değiştirerek ve çok faktörlü kimlik doğrulama cihazını değiştirerek hassas hesaplara saldırın, verileri çalın veya hesapları tamamen ele geçirin, böylece kullanıcıyı hesaplarından etkili bir şekilde kilitleyin.
CVE-2024-21334, CVSS (tehlike) puanı olarak 9,8 (1o en kötüsüdür) kazandı ve bu, Açık Yönetim Altyapısı (OMI), Linux tabanlı bir bulut altyapısı Microsoft Azure. Microsoft, saldırganların kimlik doğrulaması olmadan İnternet üzerinden OMI örneklerine bağlanabileceğini ve ardından ana cihazda uzaktan kod yürütmek için özel hazırlanmış veri paketleri gönderebileceğini söylüyor.
CVE-2024-21435'in Windows OLE'deki CVSS 8.8 güvenlik açığı olduğu ve insanların Windows'ta her gün kullandığı uygulamalar arasında büyük miktarda iletişim için bir tür omurga görevi gördüğü belirtildi. Kevin Breentehdit araştırmaları kıdemli direktörü Sürükleyici Laboratuvarlar.
Breen, “Bu güvenlik açığında, uzaktan kod yürütülmesine izin veren bir istismar var, saldırganın bir kullanıcıyı bir belgeyi açması için kandırması gerekiyor, bu belge, sistemde kod yürütme elde etmek için kötü amaçlı bir DLL indirmek üzere OLE motorundan yararlanacak” dedi. . “Saldırı karmaşıklığı düşük olarak tanımlandı, bu da saldırganların girişinde daha az engel olduğu anlamına geliyor.”
Bu ay Microsoft tarafından giderilen güvenlik açıklarının tam listesi, güncellemeleri önem derecesine ve aciliyete göre ayıran SANS Internet Storm Center'da mevcuttur.
Son olarak Adobe bugün, aşağıdakiler de dahil olmak üzere geniş bir ürün yelpazesindeki düzinelerce güvenlik açığını gideren güvenlik güncellemeleri yayınladı: Adobe Deneyim Yöneticisi, Adobe PremierePro, ColdFusion 2023 Ve 2021, Adobe Köprüsü, Işık odasıVe Adobe Animasyonu. Adobe, kusurlardan herhangi birine karşı aktif bir istismarın farkında olmadığını söyledi.
Bu arada, Adobe yakın zamanda tüm ürünlerini kaydettirdi Akrobat Kullanıcıları, yeni “Yapay Zeka Asistanı”nın “sorularınızı anlayabilmesi ve PDF dosyanızın içeriğine göre yanıtlar sağlayabilmesi” için PDF'lerinizin içeriğini tarayan “yeni üretken yapay zeka özelliğine” dönüştürüyor. Adobe, AI özelliklerinin nasıl devre dışı bırakılacağına ve devre dışı bırakılacağına ilişkin talimatları burada sağlar.
