Η microsoft udgivet sikkerhedsopdateringer for april måned 2024 for at rette en rekord 149 fejl , hvoraf to er blevet aktivt udnyttet i naturen.
Af de 149 defekter er tre vurderet som kritiske, 142 er vurderet som vigtige, tre er vurderet som moderate, og én er vurderet til lav sværhedsgrad. Opdateringen er udelukket 21 sårbarheder virksomheden står over for i sin Chromium-baserede Edge-browser efter udgivelsen af af marts tirsdag 2024 rettelser .
De to mangler, der aktivt er blevet udnyttet, er følgende –
- CVE-2024-26234 (CVSS-score: 6,7) – Proxy-driver spoofing sårbarhed
- CVE-2024-29988 (CVSS-score: 8,8) – SmartScreen Prompt-sikkerhedsfunktioner omgår sårbarhed
Selvom Microsofts rådgivning ikke giver oplysninger om CVE-2024-26234, cybervirksomhedensikkerhedSophos sagde, at det i december 2023 opdagede en ondsindet eksekverbar fil ("Catalog.exe" eller "Catalog Authentication Client Service"), der er underskrevet fra en gyldig Microsoft Windows-hardwarekompatibilitetsudgiver ( WHCP ) certifikat.
Authenticode-analysen af den binære afslørede den oprindelige anmodende udgiver til Hainan YouHu Technology Co. Ltd, som også er udgiver af et andet værktøj kaldet LaiXi Android Screen Mirroring.
Sidstnævnte beskrives som "en marketingsoftware … [der] kan forbinde hundredvis af mobiltelefoner og kontrollere dem i batches og automatisere opgaver såsom gruppefølge, like og kommentere".
Inden for den formodede autentificeringstjeneste er en komponent kaldet 3 proxy som er designet til at overvåge og opfange netværkstrafik på et inficeret system, der effektivt fungerer som en bagdør.
"Vi har ingen beviser, der tyder på, at LaiXi-udviklerne med vilje integrerede den ondsindede fil i deres produkt, eller at en trusselsaktør udførte et forsyningskædeangreb for at injicere det i LaiXi-applikationens bygge-/byggeproces." udtalte han Sophos-forsker Andreas Klopsch. .
Cybersikkerhedsfirmaet sagde også, at det opdagede flere andre varianter af bagdøren i naturen den 5. januar 2023, hvilket indikerer, at kampagnen i det mindste har kørt siden da. Microsoft har siden føjet de relevante filer til sin tilbagekaldelsesliste.
"For at udnytte denne sikkerhedsfunktion til at omgå sårbarheden, ville en angriber skulle overbevise en bruger om at starte ondsindede filer ved hjælp af en launcher, der anmoder om, at der ikke vises nogen brugergrænseflade," sagde Microsoft.
"I et e-mail- eller instant messaging-angrebsscenario kan en angriber sende den målrettede bruger en specielt udformet fil designet til at udnytte sårbarheden til fjernudførelse af kode."
Zero Day Initiativet afsløret at der er beviser for udnyttelse af fejlen i naturen, selvom Microsoft har markeret den med en "Most Likely Exploitation"-bedømmelse.
Et andet vigtigt spørgsmål er sårbarhed CVE-2024-29990 (CVSS-score: 9.0), en udvidelse af privilegiefejl, der påvirker Microsoft Azure Kubernetes Service Container Confidential, som kunne udnyttes af uautoriserede angribere til at stjæle legitimationsoplysninger.
"En angriber kan få adgang til den upålidelige AKS Kubernetes-node og AKS Confidential Container for at overtage fortrolige gæster og containere ud over netværksstakken, de kan være bundet til," sagde Redmond.
Samlet set er udgivelsen bemærkelsesværdig for at adressere op til 68 fjernudførelse af kode, 31 privilegieeskaleringer, 26 omgåelser af sikkerhedsfunktioner og seks denial-of-service (DoS) fejl. Interessant nok er 24 af de 26 sikkerhedsbypass-fejl relateret til Secure Boot.
“Mens ingen af disse sårbarheder Sikker Boot behandlet i denne måned ikke blev udnyttet i naturen, tjener de som en påmindelse om, at fejlene i Secure Boot stadig eksisterer, og vi kunne se mere Secure Boot-relateret ondsindet aktivitet i fremtiden," sagde Satnam Narang, senior stab forskningsingeniør hos Tenable i en erklæring.
Afsløringen kommer som Microsoft har møde kritik om sin sikkerhedspraksis, med en nylig rapport fra Board of Review Cybersikkerhed(CSRB) opfordrer virksomheden for ikke at gøre nok for at forhindre en cyberspionagekampagne orkestreret af en kinesisk trusselsaktør sporet som Storm. -0558 sidste år.
Det følger også virksomhedens beslutning om at offentliggøre årsagsdata for sikkerhedsfejl ved hjælp af Common Weakness Enumeration (CWE) industristandarden. Det er dog værd at bemærke, at ændringerne kun gælder fra og med meddelelser offentliggjort fra marts 2024.
"At tilføje CWE-vurderinger til Microsofts sikkerhedsrådgivning hjælper med at identificere den overordnede årsag til en sårbarhed," sagde Adam Barnett, ledende softwareingeniør hos Rapid7, i en erklæring delt med The Hacker News.
“CWE-programmet opdaterede for nylig sin vejledning om kortlægning af CVE'er til en CWE-grundårsag . At analysere CWE-trends kan hjælpe udviklere med at reducere fremtidige hændelser gennem forbedrede softwareudviklingslivscyklus (SDLC) arbejdsgange og test, samt hjælpe forsvarere med at forstå, hvor de skal rette en dybtgående forsvarsindsats og hærde udvikling for bedre afkast af investeringen."
I en relateret udvikling afslørede cybersikkerhedsfirmaet Varonis to metoder, som angribere kunne anvende for at omgå revisionslogfiler og undgå at udløse downloadhændelser, når de eksporterer filer fra SharePoint.
Den første tilgang udnytter SharePoints "Åbn i app"-funktion til at få adgang til og downloade filer, mens den anden bruger brugeragenten til Microsoft SkyDriveSync til at downloade filer eller endda hele websteder, og fejlklassificerer sådanne hændelser som filsynkronisering i stedet for downloads.
"Disse teknikker kan omgå detekterings- og håndhævelsespolitikkerne for traditionelle værktøjer, såsom cloud-adgangssikkerhedsmæglere, forebyggelse af datatab og SIEM'er, ved at skjule downloads som mindre mistænkelige adgangs- og synkroniseringsbegivenheder." han sagde Erik Saraga.
Tredjeparts softwarerettelser
Ud over Microsoft er sikkerhedsopdateringer også blevet frigivet af andre leverandører i de seneste uger for at rette adskillige sårbarheder, herunder:
- Adobe
- AMD
- Android
- Apache XML Security til C++
- Aruba Networks
- Atos
- Bosch
- Cisco
- D-Link
- Dell
- Drupal
- F5
- Fortinet
- Fortra
- GitLab
- Google Chrome
- Google Cloud
- Google Pixel
- Hikvision
- Hitachi energi
- HP
- HPE Enterprise
- HTTP / 2
- IBM
- Ivanta
- Jenkins
- Lenovo
- LG webOS
- Linux distributioner Debian, Oracle Linux, Red Hat, SUSEog Ubuntu
- MediaTek
- Mozilla Firefox, Firefox ESR og Thunderbird
- NETGEAR
- NVIDIA
- Qualcomm
- Rockwell Automation
- Rust
- Samsung
- SAP
- Schneider Electric
- Siemens
- splunk
- Synology
- VMware
- WordPress
- linse zoom
