В рамках мартовского вторника обновлений Microsoft выпустила более 60 патчей (плюс четыре уязвимости Microsoft Edge, исправленные 7 марта). Восемнадцать из исправленных уязвимостей позволяли удаленно выполнять произвольный код, однако в этом месяце не было устранено ни одной 0-day ошибки.

Патчи этого месяца исправили две критические уязвимости, CVE-2024-21407 и CVE-2024-21408: удаленное выполнение кода и отказ в обслуживании (DoS) в Hyper-V.

По словам компании, для успешной эксплуатации этой проблемы атакующий должен собрать информацию, специфичную для конкретной среды, и предпринять ряд дополнительных действий перед атакой.

Также отдельного внимания заслуживают следующие исправленные в этом месяце проблемы.

CVE-2024-21400 — уязвимость повышения привилегий в конфиденциальных контейнерах Microsoft Azure Kubernetes. Проблема позволяет злоумышленникам получить повышенные привилегии и похитить учетные данные.

CVE-2024-26199 — уязвимость повышения привилегий в Microsoft Office. Позволяет любому аутентифицированному пользователю получить привилегии SYSTEM.

CVE-2024-20671 — уязвимость обхода защитных функций Microsoft Defender. Баг мог привести к тому, что аутентифицированный злоумышленник получал возможность предотвратить запуск Microsoft Defender.

Проблема устранена с помощью обновлений Windows Defender Antimalware Platform, которые автоматически устанавливаются на устройства под управлением Windows. Недостаток исправлен в версии 4.18.24010.12 Antimalware Platform.

CVE-2024-21334 — критическая RCE-уязвимость в Open Management Infrastructure (OMI). Позволяет удаленному неаутентифицированому злоумышленнику получить доступ к экземпляру OMI из интернета, отправить специально созданный запрос и спровоцировать user-after-free проблему.

CVE-2024-21411 — уязвимость удаленного выполнения кода в Skype for Consumer. Эксплуатировать эту проблему можно при помощи вредоносной ссылкой или изображения.

Помимо Microsoft патчи для своих продуктов на этой неделе опубликовали и другие компании, среди которых:

• 
  
• Adobe устранила 56 уязвимостей (включая критические) в Experience Manager, Premiere Pro, ColdFusion, Bridge, Lightroom и Animate. Ни одна из проблем не использовалась хакерами.
• 
  
• Intel выпустила восемь патчей для устранения 11 уязвимостей в своих аппаратных, встроенных и программных продуктах. Ни одна из них не является критической.
• 
  
• SAP опубликовала более десяти бюллетеней безопасности. Один из них описывает уязвимость внедрения кода с рейтингом 9,4 балла по шкале CVSS, которая проявляется в приложениях, созданных с помощью SAP Build Apps.
• 
  
• Cisco выпустила обновления для ряда своих продуктов, включая последний патч для проблемы CVE-2023-20214, впервые раскрытой еще в прошлом году. Этот баг позволял неаутентифицированному удаленному злоумышленнику получить разрешения на чтение и ограниченные права на запись в затронутом экземпляре Cisco SD-WAN vManage.
• 
  

Теги: Новости, Microsoft, Patch Tuesday