Какие самые важные уязвимости были исправлены в апреле?

В апреле Apple, Microsoft, Google и другие технологические гиганты исправили уязвимости в своих продуктах, многие из которых уже использовались в реальных атаках. Также недостатки были исправлены в браузере Firefox и корпоративном ПО SolarWinds и Oracle.

Apple

Apple выпустила обновление iOS 16.4.1 с исправлениями двух эксплуатируемых уязвимостей.

• CVE-2023-28206 (CVSS: 8.6) — это проблема в IOSurfaceAccelerator, приводящая к повреждению данных, сбою или выполнению кода. Использование этого недостатка позволяет злоумышленнику использовать вредоносное приложение для выполнения произвольного кода в режиме ядра;
• CVE-2023-28205 (CVSS: 8.8) — это проблема в WebKit (движок браузера Safari), которая может привести к выполнению произвольного кода при повторном использовании памяти. Когда жертва посещает заражённый веб-сайт, хакер может получить контроль над браузером жертвы или любым приложением, использующим WebKit для рендеринга и отображения HTML-контента.

Об уязвимостях сообщила команда Google TAG и Amnesty International’s Security Lab. По словам экспертов, недостатки могли быть использованы для внедрения шпионского ПО.

Microsoft

Microsoft также выпустила срочное исправление в рамках вторника исправлений в апреле.

Были исправлены:

• CVE-2023-28252 (CVSS: 7.8) — уязвимость повышения привилегий в файловой системе Windows CLFS, которая позволяет получить системные привилегии;
• CVE-2023-21554 (CVSS: 9.8) — уязвимость удаленного выполнения кода в Microsoft Message Queuing (MSMQ). Для использования ошибки злоумышленнику необходимо отправить вредоносный пакет MSMQ на сервер MSMQ, что может привести к удаленному выполнению кода на стороне сервера.

Во вторник исправлений Microsoft исправила в общей сложности 98 уязвимостей, поэтому стоит проверить рекомендации и обновить их как можно скорее.

Google Android

Самая опасная ошибка, которая была исправлена в Android , это критическая уязвимость в системном компоненте, приводящая к удаленному выполнению кода без дополнительных привилегий и взаимодействия с пользователем.

Также в апреле корпорация Google исправила несколько недостатков для Pixel , в том числе ошибку повышения привилегий в ядре CVE-2023-0266 (CVSS: 7.8). Апрельское обновление для Android доступно для устройств Google, а также для моделей серии Samsung Galaxy S, Fold и Flip.

Google Chrome

В начале апреля Google исправила 16 уязвимостей в браузере Chrome. Исправленные недостатки включают:

• CVE-2023-1810 (CVSS: 8.8), проблему переполнения буфера в куче в Visuals;
• CVE-2023-1811 (CVSS: 8.8), уязвимость использования после освобождения (Use-After-Free, UAF).

Mozilla Firefox

Компания Firefox исправила проблемы в Firefox 112, Firefox и Firefox Focus для Android. Среди исправленных недостатков:

• CVE-2023-29531 (CVSS: 7.5) — уязвимость, открывающая доступ к внешней памяти в WebGL на macOS;
• CVE-2023-1999 (CVSS: 7.5) — уязвимость двойного освобождения (Double-free) в libwebp, приводящая к повреждению памяти и сбою.

SolarWinds

IT-компания SolarWinds устранила в своих системах две опасные проблемы, которые могли привести к выполнению кода и повышению привилегий.

• CVE-2022-36963 (CVSS: 8.8) — уязвимость ввода команд в продукте SolarWinds для мониторинга и управления инфраструктурой. В случае эксплуатации ошибка может позволить удаленному злоумышленнику с действительной учетной записью администратора платформы SolarWinds выполнять произвольные команды.
• CVE-2022-47505 (CVSS: 7.8) — уязвимость локального повышения привилегий, которую локально может использовать киберпреступник с действительной учетной записью системного пользователя для повышения привилегий.

Oracle

Апрель был важным месяцем для производителя корпоративного ПО Oracle, который выпустил исправления для 433 уязвимостей, 70 из которых являются критическими. К ним относится уязвимость в Oracle GoldenGate CVE-2022-23457 (CVSS: 9.8). По словам Oracle, эту проблему можно использовать удаленно без аутентификации.

Апрельские исправления также содержат 6 новых исправлений ошибок в Oracle Commerce, которые также можно использовать удаленно без аутентификации.

Cisco

Cisco выпустила исправления для уязвимостей, которые могут позволить локальному злоумышленнику, прошедшему проверку подлинности, выйти за пределы оболочки и получить root-привилегии в базовой операционной системе.

Среди исправленных недостатков - уязвимость внедрения команд CVE-2023-20121 (CVSS: 6.7), затрагивающая Cisco EPNM, Cisco ISE и инфраструктуру Cisco Prime. Злоумышленник может воспользоваться уязвимостью, войдя на устройство и выполнив специально созданную CLI-команду для получения root-привилегий.

SAP

SAP выпустила 19 новых бюллетеней по безопасности , которые описывают, помимо прочих, следующие уязвимости:

• CVE-2023-27497 в SAP Diagnostics Agent. которая позволяет злоумышленнику выполнять вредоносные сценарии на всех подключенных «агентах диагностики», работающих в Windows.
• CVE-2023-28765 – уязвимость раскрытия информации в платформе SAP BusinessObjects Business Intelligence. Отсутствие защиты паролем позволяет злоумышленнику получить доступ к файлу «lcmbiar». После успешной расшифровки содержимого файла хакер может получить доступ к паролям пользователя.

В зависимости от авторизации олицетворяемого пользователя злоумышленник может полностью скомпрометировать конфиденциальность, целостность и доступность системы.