Излезе юнският Patch Tuesday

Microsoft публикува редовното издание на Patch Tuesday – сбора със запушени уязвимости за месеца. Пакетът с юнските актуализации е съставен от 70 (над 90 ако се броят тези за Edge) поправки на различни слабости. Този месец нямаме актуализации, насочени към уязвимости, които вече са били експлоатирани, а тези с гриф „критично важни“ са едва четири.

Една от тях е CVE-2023-29357, пробелм в SharePoint, който позволява на външна страна да придобие администраторски права над сървъра. Оценката на риска (CVSS) на уязвимостта е 9.8 поради това, че за успешната експлоатация не се изисква предприемането на действие от страна на атакуваната страна, а сложността на самата атака се оценява като „ниска“. В описанието на уязвимостта е записано, че атакуващата страна може да използва подправени JWT токени, за да преодолее удостоверяващите механизми и си присвои администраторски привилегии.

Три критични уязвимости, обединени в общ бюлетин засягат Windows PGM протокола. И трите (CVE-2023-29363, CVE-2023-32014 и CVE-2023-32015) имат оценка на риска от 9.8 и позволяват дистанционното изпълнение на произволен код. Експлоатацията им изисква активирана Windows MSMQ услугата, която по подразбиране е изключена. CVE-2023-24897 също се явява критична уязвимост, която може да позволи изпълнението на произволен код по отдалечен път. Тя засяга .NET, .NET Framework и Visual Studio.

Сред другите засегнати продукти и услуги на Windows, които получават актуализации тук са: Windows NTFS, Windows Group Policy, Remote Desktop Client, SysInternals и Windows DHCP Server, Microsoft Windows Codecs Library, Windows Geolocation Service, Windows OLE, Windows Filtering и др.