Microsoft публикува декемврийският Patch Tuesday

Ето ни отново по онова време на месеца, когато обновяваме Windows инсталацията си, стискайки палци нещо да не се счупи. Microsoft издадоха последния за 2023 Patch Tuesday, който през този месец е по-лек от обикновено. Общо 34 уязвимости за Windows и свързаните с него продукти и услуги получават кръпки, като четири от тях са определени за критично важни, осем позволяват отдалеченото изпълнение на произволен код, а едва една е вече докладвана и известна, но непокрита. Това е CVE-2023-20588 – уязвимост, засягаща някои процесори на AMD. Успешната ѝ експлоатация би могла да доведе до разкриване на информация на външна страна. Тя е била докладвана на компанията през август, но от AMD са издали единствено препоръка към разработчиците на приложения, докато Microsoft са решили сега да пуснат и актуализация за нея.

За ползващите MS Outlook е наложително налагането на CVE-2023-35628 – уязвимост в MSHTML браузърния енджин на програмата, отговарящ за обработката на HTML съдържание. Успешното експлоатиране на проблема може да доведе до отдалечено изпълнение на зловреден код. Не се изисква привилегии от страна на атакуващата страна или действие от страна на потребителя (например кликането на линк, отварянето на файл) за успешната атака.

Друга важна актуализация, която трябва да бъде наложена от декемврийския Patch Tuesday се явява CVE-2023-35634 – критична уязвимост в Bluetooth драйвера, позволяваща отдалечено изпълнение на произволен код от атакуващата страна. Сложността на провеждането на атаката се определя за ниско, както и нивото на привилегии, които трябва да притежава атакуващата страна, а от потребителя не се изисква действие, което и отрежда висок рейтинг на риска от 8.0/10.

Сред другите продукти и услуги, свързани с Windows, които получават обновления са Windows Win32K, ODBC Server, Edge и Office, Windows DHCP Server, Microsoft Windows DNS и др.