Во «Вторник Патчей», 10 октября 2023 года, компания Microsoft выпустила исправления против 104 проблем безопасности, включая три активно эксплуатируемые уязвимости нулевого дня.
Только 12 уязвимостей получили наивысший рейтинг опасности — «Критический». При этом сразу 45 исправленных дефектов безопасности связаны с удаленным выполнением кода.
Классификация уязвимостей по типу:
В число исправленных ошибок не входит уязвимость Chromium с идентификатором CVE-2023-5346, которая была исправлена Google 3 октября и портирована в Microsoft Edge.
Исправлено три активно эксплуатируемые уязвимости
В рамках текущего выпуска «Вторника Патчей» было исправлено три уязвимости нулевого дня. Все они использовались в реальных атаках, а две из них были публично раскрыты.
Microsoft классифицирует уязвимость как уязвимость нулевого дня, если она публично раскрыта или активно эксплуатируется без официального исправления.
Исправлены следующие уязвимости нулевого дня:
Microsoft устранила активно эксплуатируемую уязвимость в Skype для бизнеса, которая классифицируется как ошибка повышения привилегий.
В бюллетени по безопасности сообщается:
Уязвимость обнаружена доктором Флорианом Хаузером. Он отметил, что уязвимость можно использовать для доступа к системам во внутренних сетях. По сути, она позволяет нарушить периметр Интернета, поскольку Skype обычно находится в публичном сегменте глобальной сети.
Компания Microsoft исправила активно эксплуатируемую уязвимость, которая может быть использована для кражи NTLM-хэшей при открытии документа в WordPad.
В бюллетени по безопасности сообщается:
Эти NTLM-хэши могут быть взломаны или использованы в NTLM Relay-атаках для получения доступа к учетной записи.
Этот дефект был обнаружен внутренней группой Microsoft Threat Intelligence и, по-видимому, является ответвлением дефекта CVE-2023-36761, исправленного в прошлом месяце.
Компания Microsoft выпустила средства защиты от новой DDoS-атаки «нулевого дня» под названием «HTTP/2 Rapid Reset», которая активно эксплуатируется с августа, побив все предыдущие рекорды.
Эта атака использует функцию отмены потока HTTP/2 для непрерывной отправки и отмены запросов, перегружая целевой сервер или приложение и вызывая состояние отказа в обслуживании.
Поскольку данная функция встроена в стандарт HTTP/2, не существует какого-либо «исправления», которое можно было бы реализовать, кроме ограничения скорости или блокировки протокола.
В рекомендации Microsoft предлагает отключить протокол HTTP/2 на веб-сервере. Однако компания также предоставила отдельную статью о HTTP/2 Rapid Reset с дополнительной информацией.
Этот дефект был раскрыт сегодня в ходе скоординированного взаимодействия Cloudflare, Amazon и Google.
Microsoft утверждает, что CVE-2023-41763 и CVE-2023-36563 были раскрыты публично.
Источник новости: www.playground.ru
