Microsoft, Emotet kötü amaçlı yazılımı tarafından kötüye kullanılan yükleyici deliğini kapatıyor, Google, vahşi ortamda sömürülen Chrome hatasını uyarıyor
Bu hafta için endişelenmeniz gereken sadece Log4j değil . Yılın son Yaması Salı.
Bu düzeltmeleri henüz yüklemediyseniz veya dağıtımdan önce test etmeye başladıysanız, istismarların geliştirilip Noel tatilinde dağıtılması için şimdi iyi bir zaman olacaktır. Bunlardan en az ikisi – biri Windows AppX Installer’da ve biri Chrome’da – şu anda vahşi ortamda istismar ediliyor.
Güvenlik güncellemelerinin bir özetini burada yayınlayan Microsoft ile başlayalım . Windows çekirdeğinden PowerShell’e, Office’e ve kuşatılmış Yazdırma Biriktiricisine kadar her türlü ürün etkilenir.
Zero Day Initiative’deki Dustin Childs’a göre , yedi tanesi kritik olarak kabul edilen 67 CVE listesindeki hata , umarız Redmond tarafından en son yama serisinde ezildi. Ve Edge’de düzeltilen Chromium hatalarını eklediğinizde, toplam isabetin 83 olduğu söylendi.
Kritik veya başka türlü daha dikkate değer hatalardan bazıları şunlardır:
Windows AppX Yükleyici: ( CVE-2021-43890 ) Görünüşe göre bu kimlik sahtekarlığı güvenlik açığı, birisini kötü amaçlı bir yazılım paketi yüklemesi için kandırmak için kullanılabilir. Gerçekten de Microsoft’a göre bu, açıldığında etkinleşen mesaj ekleri oluşturmak için kimlik avı kampanyalarında kullanılabilir. Kusur, vahşi doğada, Emotet, diğer adıyla Trickbot ve Bazaloader, kötü amaçlı yazılımı yaymak için kötüye kullanıldı.
iSNS Sunucusu: ( CVE-2021-43215 ) Microsoft’un İnternet Depolama Adı Hizmetinde, varsayılan olarak etkinleştirilmeyen, ancak genellikle bir depolama ağındaki iSCSI cihazlarını yönetmek için açık olan kritik bir uzaktan kod yürütme güvenlik açığı. Kimliği doğrulanmamış bir kullanıcı olarak bile sunucuya özel hazırlanmış bir istek göndermek, kod yürütülmesine ve sistem güvenliğinin ihlal edilmesine neden olabilir.
Microsoft 4K Kablosuz Görüntü Bağdaştırıcısı: ( CVE-2021-43899 ) Bu donanım aygıtının bellenimindeki kritik bir hata, ağ üzerinden, kimliği doğrulanmamış bir kötü niyetli kişi tarafından ele geçirilmek üzere kullanılabilir.
IoT için Microsoft Defender: ( CVE-2021-42310 ) 10.5.2 sürümünden önceki bu güvenlik ürünündeki kritik bir uzaktan kod yürütme kusuru, kimliği doğrulanmamış bir kötü niyetli kişi tarafından bir ağ üzerinden kullanılabilir. Ayrıntılar çok azdır, ancak özel olarak hazırlanmış verileri bu yazılıma tehlikeye atmak için beslemenin mümkün olduğu varsayılır.
Microsoft Office uygulaması: ( CVE-2021-43905 ) Yine, Microsoft, uygulamasının 18.2110.13110.0 sürümlerinden önceki bu kritik uzaktan kod yürütme açıklığı konusunda temkinlidir ve genellikle zaten otomatik olarak güncellenir. Saldırganın, kod yürütmeyi başarmak için kurbanın bubi tuzağına yakalanmış bir belge açmasını istemesi muhtemeldir; önizleme bölmesinde görüntülemek yeterli değildir.
Uzak Masaüstü İstemcisi: ( CVE-2021-43233 ) Bu ağ tabanlı kritik uzaktan kod yürütme kusuru, kullanıcının bazı eylemlerde bulunmasını gerektirir ve ayrıca muhtemelen istismar, bir kurbanın kötü niyetli bir uzak masaüstü sunucusuna bağlanmasını içerir. Tenable’da da kaydetti .
Visual Studio Code WSL Uzantısı: ( CVE-2021-43907 ) Bu kritik uzaktan kod yürütme açıklığından herhangi bir kullanıcı etkileşimi gerekmeden uzaktan yararlanılabilir ve Microsoft ayrıntılarla ilgilenir . Bu, geliştiriciler için potansiyel olarak korkunç geliyor, bu nedenle güncellemeyi mümkün olan en kısa sürede alın.
Windows Şifreleme Dosya Sistemi: ( CVE-2021-43217 ) Microsoft’a göre, “saldırgan bir arabellek taşmasına neden olabilir ve bu da kimliği doğrulanmamış korumalı alan olmayan kod yürütülmesine neden olabilir.” En önemlisi, şifreleme dosya sisteminin savunmasız ve sömürülebilir olması için çalışıyor olması bile gerekmez. Bu aynı zamanda , bu ay başlayan ve Mart 2022’de tamamlanan iki parçalı bir yamadır; bu, kimlik doğrulama gerektirmeyen bu kritik uzaktan kod yürütme kusurunun önemsiz olmadığını gösterir.
Microsoft, “İlk dağıtım aşaması, 14 Aralık 2021’de yayınlanan Windows güncellemeleriyle başlıyor” dedi. “Güncellemeler, istemci bir bağlantı başlattığında EFS için paket düzeyinde gizliliği etkinleştirecek ve sunucu yalnızca paket düzeyinde gizliliğe sahip bağlantılara izin verecek.
“2021’in ilk çeyreği için planlanan ikinci aşama, uygulama aşamasına geçişi işaret ediyor. AllowAllCliAuth kayıt defteri anahtarı desteği kaldırılacak ve sunucular, kayıt defteri anahtarı ayarından bağımsız olarak paket düzeyinde gizlilik gerektirecek.”
Bunun da ötesinde , EFS’de bir mağdurun sisteminde gerçekten yönetici düzeyinde hasara neden olmak için yukarıdakilerle birleştirilebilen bir ayrıcalık yükseltme hatası ( CVE-2021-43893 ) vardır.
Ve daha birçok programlama hatası var. SharePoint Server’da ( CVE-2021-42309 ), yararlanmak için kimlik doğrulaması gerektiren bir uzaktan kod yürütme kusuru . Aşağıdakiler, vahşi doğada mutlaka kötüye kullanılmamakla birlikte, onlar için kullanılabilir yararlanma koduna sahiptir: NTFS Set Short Name ayrıcalık yükseltmesi ( CVE-2021-43240 ); Windows Installer ayrıcalık yükseltmesi ( CVE-2021-43883 ); Windows Mobile Aygıt Yönetimi ayrıcalık yükseltmesi ( CVE-2021-43880 ); ve Windows Yazdırma Biriktiricisi ayrıcalık yükseltmesi ( CVE-2021-41333 ).
Ve IoT için Microsoft Defender, HEVC Video Uzantıları, Excel, Depolama Alanları Denetleyicisi, Visual Studio Kodu, Windows Ortak Günlük Dosya Sistemi Sürücüsü, Windows Kurtarma Ortamı Aracısı ve daha fazlası için bir sürü başka yama.
Windows Server’ı yeniden başlatmaya gerek kalmadan yamalamak kullanışlı bir özelliktir – ancak yalnızca Azure’da kullanılabilir
Şimdi yama? Kurumsal istismarlar neden 1999’da olduğu gibi hala parti veriyor?
Geçen yıl dörtte bir sıfır günden sorumlu olan çöp yazılım güvenlik yamaları
WebKit’in kaynağında bir güvenlik açığı giderildiğinde ancak Apple tarafından bir yama olarak yayınlanmadığında ne olur? Hadi bulalım
Bu arada, Apple yayımlanan Pazartesi günü MacOS, iOS ve iPadOS, tvOS ve watchos güvenlik düzeltmelerini.
Salı günü Adobe , Windows ve macOS’ta Photoshop , Premier Pro ve After Effects’te kod yürütme delikleri ve Windows’ta Lightroom’da bir ayrıcalık yükseltme güvenlik açığı dahil olmak üzere 11 ürününde çok sayıda hatayı düzeltti . Apple kusurları gibi, hiçbirinin aktif saldırı altında olmadığı söyleniyor.
Pazartesi günü Google , Windows, macOS ve Linux için Chrome 96.0.4664.110’u yayınladı ve bunlardan biri – V8 JavaScript motorundaki ücretsiz kullanım sonrası () bir kusur olan CVE-2021-4102 – aktif olarak kullanılıyor vahşi doğada sömürülür.
Son olarak, SAP 10 güvenlik notu yayınladı . Çin için yerelleştirme olan SAP Commerce’de, nesneleri XML’e ve geriye doğru seri hale getirmek için bir Java kitaplığı olan XStream’de keşfedilen kusurlardan kaynaklanıyor gibi görünen bir dizi ciddi hata var .
Ayrıca, “SAP ABAP Sunucusu ve ABAP Platformunda kod yerleştirme güvenlik açığı” olarak tanımlanan, ayrıca SAP Commerce’de bir SQL enjeksiyon deliği, SAP Knowledge Warehouse’da bir XSS güvenlik açığı, SAP NetWeaver AS ABAP’de bir komut enjeksiyon hatası ve diğer kurumsal BT devinin kodundaki güvenlik hataları. ®
Metnin aslına ulaşmak için: