В последнем обновлении Patch Tuesday от Microsoft, выпущенном в феврале 2024 года, были устранены 73 уязвимости в программном обеспечении компании, включая две zero-day уязвимости, активно эксплуатируемые злоумышленниками, и одну по-настоящему древнюю уязвимость, которая существует в Windows уже 24 года.
Среди исправленных уязвимостей пять получили статус “критические”, 65 оценены как “важные”, а ещё три – как “умеренные”. Кроме того, были устранены 24 недостатка в фирменном браузере Microsoft на базе Chromium – Edge.
Особое внимание привлекают две уязвимости, которые на момент выпуска обновлений активно эксплуатировались:
- CVE-2024-21351 (оценка CVSS 7.6), связанная с обходом защиты Windows SmartScreen;
- CVE-2024-21412 (оценка CVSS 8.1), позволяющая обходить защиту в файлах ярлыков интернета.
Microsoft подчеркнула серьёзность уязвимости CVE-2024-21351, указав на возможность внедрения кода злоумышленником с потенциальным выполнением кода, что может привести к утечке данных или сбоям в системе. А CVE-2024-21412 даёт возможность непроверенному атакующему обойти защитные меры, отправив специально созданный файл цели.
Обе уязвимости были добавлены в каталог Known Exploited Vulnerabilities (KEV) агентством кибербезопасности и инфраструктурной безопасности США (CISA), рекомендуя федеральным агентствам применить последние обновления к 5 марта 2024 года.
Кроме того, были исправлены пять других критических уязвимостей:
- CVE-2024-20684 (оценка CVSS 6.5) – уязвимость Windows Hyper-V, ведущая к отказу в обслуживании;
- CVE-2024-21357 (оценка CVSS 7.5) – уязвимость удалённого выполнения кода Windows Pragmatic General Multicast (PGM);
- CVE-2024-21380 (оценка CVSS 8.0) – уязвимость Microsoft Dynamics Business Central / NAV, ведущая к раскрытию информации;
- CVE-2024-21410 (оценка CVSS 9.8) – уязвимость с повышением привилегий Microsoft Exchange Server;
- CVE-2024-21413 (оценка CVSS 9.8) – уязвимость удалённого выполнения кода в Microsoft Outlook.
Обновление также включает в себя устранение фундаментальной ошибки CVE-2023-50387 (оценка CVSS 7.5) в спецификации DNSSEC, существовавшей в Windows целых 24 года . Она могла быть использована для исчерпания ресурсов CPU и блокировки DNS-резолверов, вызывая отказ в обслуживании.
Кроме Microsoft, в последние недели множество других производителей также выпустили обновления безопасности, направленные на устранение различных уязвимостей. Среди них – Adobe, AMD, ASUS, Cisco, Intel, Ivanti, Lenovo и многие другие, что подчёркивает масштабную работу по обеспечению кибербезопасности в цифровом пространстве.