Microsoft пусна кръпки, поправящи уязвимости от типа „нулев ден“ в Skype, Teams и Edge

Microsoft пусна кръпки за отстраняване на уязвимости от типа „нулев ден“ в две популярни библиотеки с отворен код, които засягат чат клиента Skype, софтуерните решения Teams и браузъра Edge. Компанията не разкрива дали уязвимостите са били използвани от хакери за атаки срещу потребителите или не.

Миналия месец бяха открити уязвимости от типа „нулев ден“ в библиотеките с отворен код webp и libvpx, които се използват за обработка на изображения и видео в браузъри, приложения и смартфони. Според изследователи от Google и Citizen Lab тези уязвимости са били активно използвани от хакери за инсталиране на шпионски софтуер на устройствата на жертвите.

Експертите от Citizen Lab съобщиха, че според техните изследвания клиентите на израелската компания за шпионски софтуер NSO Group са използвали софтуера Pegasus, за да използват уязвимост в софтуера на iPhone. Особеността на тази уязвимост в библиотеката webp, интегрирана от Apple се състои в това, че за нейното използване не е необходимо взаимодействие със собственика на устройството (т.нар. „нулев клик“ атака).

Големите технологични компании, включително Google и Mozilla също предприеха стъпки за отстраняване на тези уязвимости в своите продукти, за да защитят потребителите от възможни атаки. По-късно изследователите по сигурността на Google откриха друга уязвимост, този път в библиотеката libvpx, която според тях е била използвана от търговски доставчик на шпионски софтуер, чието име Google отказа да посочи.

На свой ред Apple и Google пуснаха актуализации за сигурност, за да отстранят уязвимостта на libvpx в своите продукти. Apple също така обърна внимание на друга уязвимост в ядрото на своето устройство, като заяви, че уязвимите устройства са работили със софтуерни версии преди iOS 16.6.

Установено бе, че уязвимостта в libvpx засяга и продукти на Microsoft. Компанията потвърди наличието на откритите уязвимости в посочените библиотеки и пусна съответните актуализации. Софтуерният гигант обаче отказа да коментира дали продуктите на компанията са били засегнати от атаките.