Microsoft heeft de laatste set Patch Tuesday-updates voor 2023 uitgebracht, waarmee 33 fouten in de software zijn verholpen, waardoor het een van de lichtste releases van de afgelopen jaren is.
Van de 33 tekortkomingen worden er vier beoordeeld als Kritiek en 29 als Belangrijk in ernst. De oplossingen zijn een aanvulling op 18 fouten die Microsoft heeft verholpen in zijn Chromium-gebaseerde Edge-browser sinds de release van Patch Tuesday-updates voor november 2023.
Volgens gegevens van het Zero Day Initiative heeft de softwaregigant dit jaar meer dan 900 fouten gepatcht, waardoor het een van de drukste jaren is voor Microsoft-patches. Ter vergelijking: Redmond heeft in 2022 917 CVE’s opgelost.
Hoewel geen van de kwetsbaarheden ten tijde van de release bekend staat als algemeen bekend of actief wordt aangevallen, worden enkele van de opmerkelijke hieronder opgesomd:
- CVE-2023-35628 (CVSS-score: 8.1) – Beveiligingslek bij het uitvoeren van externe code op het Windows MSHTML-platform
- CVE-2023-35630 (CVSS-score: 8,8) – Kwetsbaarheid bij het delen van internetverbindingen (ICS) bij het uitvoeren van externe code
- CVE-2023-35636 (CVSS-score: 6,5) – Beveiligingslek met betrekking tot het vrijgeven van informatie in Microsoft Outlook
- CVE-2023-35639 (CVSS-score: 8,8) – Beveiligingslek bij het uitvoeren van externe code in het Microsoft ODBC-stuurprogramma
- CVE-2023-35641 (CVSS-score: 8,8) – Kwetsbaarheid bij het delen van internetverbindingen (ICS) bij het uitvoeren van externe code
- CVE-2023-35642 (CVSS-score: 6,5) – Denial-of-Service-kwetsbaarheid bij het delen van internetverbindingen (ICS)
- CVE-2023-36019 (CVSS-score: 9,6) – Beveiligingslek met betrekking tot spoofing van Microsoft Power Platform Connector
CVE-2023-36019 is ook belangrijk omdat het de aanvaller in staat stelt een speciaal vervaardigde URL naar het doelwit te sturen, wat resulteert in de uitvoering van kwaadaardige scripts in de browser van het slachtoffer op zijn computer.
“Een aanvaller kan een kwaadaardige link, applicatie of bestand manipuleren om deze te vermommen als een legitieme link of bestand om het slachtoffer te misleiden”, aldus Microsoft in een advies.
De Patch Tuesday-update van Microsoft verhelpt ook drie fouten in de Dynamic Host Configuration Protocol (DHCP)-serverservice die kunnen leiden tot een denial-of-service of het vrijgeven van informatie:
- CVE-2023-35638 (CVSS-score: 7,5) – Denial-of-Service-kwetsbaarheid in DHCP-serverservice
- CVE-2023-35643 (CVSS-score: 7,5) – Kwetsbaarheid inzake openbaarmaking van DHCP-serverservice-informatie
- CVE-2023-36012 (CVSS-score: 5,3) – Beveiligingslek met betrekking tot het vrijgeven van informatie over de DHCP-serverservice
De onthulling komt ook op het moment dat Akamai een nieuwe reeks aanvallen ontdekte op Active Directory-domeinen die gebruik maken van Microsoft Dynamic Host Configuration Protocol (DHCP)-servers.
“Deze aanvallen kunnen aanvallers in staat stellen gevoelige DNS-records te vervalsen, wat verschillende gevolgen kan hebben, van diefstal van inloggegevens tot volledige inbreuk op het Active Directory-domein”, zei Ori David vorige week in een rapport. “Voor de aanvallen zijn geen inloggegevens nodig en ze werken met de standaardconfiguratie van de Microsoft DHCP-server.”
Het webinfrastructuur- en beveiligingsbedrijf merkte verder op dat de impact van de fouten aanzienlijk kan zijn, omdat ze kunnen worden misbruikt om DNS-records op Microsoft DNS-servers te vervalsen, inclusief het overschrijven van niet-geverifieerde willekeurige DNS-records, waardoor een actor een machine-in-de-omgeving kan bemachtigen. -middenpositie op hosts in het domein en toegang tot gevoelige gegevens.
Microsoft zei in reactie op de bevindingen dat de “problemen ofwel inherent zijn aan het ontwerp, ofwel niet ernstig genoeg zijn om een oplossing voor te krijgen”, waardoor gebruikers DHCP DNS Dynamic Updates moeten uitschakelen als ze niet nodig zijn en geen gebruik moeten maken van DNSUpdateProxy.
Softwarepatches van andere leveranciers
Behalve Microsoft zijn er de afgelopen weken ook beveiligingsupdates uitgebracht door andere leveranciers om verschillende kwetsbaarheden te verhelpen, waaronder:
