A Microsoft lançou atualizações de segurança para corrigir 51 falhas como parte de suas atualizações do Patch Tuesday de junho de 2024.
Das 51 vulnerabilidades, uma é classificada como Crítica e 50 como Importante. Isso se soma às 17 vulnerabilidades resolvidas no navegador Edge baseado em Chromium no mês passado.
Nenhuma das falhas de segurança foi explorada ativamente, com uma delas listada como conhecida publicamente no momento do lançamento.
Trata-se de um comunicado de terceiros rastreado como CVE-2023-50868 (pontuação CVSS: 7,5), um problema de negação de serviço que afeta o processo de validação de DNSSEC e pode causar esgotamento da CPU em um resolvedor de validação de DNSSEC.
Foi relatado por pesquisadores do Centro Nacional de Pesquisa para Segurança Cibernética Aplicada (ATHENE) em Darmstadt em fevereiro, juntamente com KeyTrap (CVE-2023-50387, pontuação CVSS: 7,5).
“NSEC3 é uma versão melhorada do NSEC (Subsequent Safe) que fornece negação de existência autenticada”, disse Tyler Reguly, diretor associado de P&D de segurança da Fortra, em comunicado. “Ao provar que um registro não existe (com evidências dos registros circundantes), você pode ajudar a prevenir o envenenamento do cache DNS contra domínios inexistentes.”
“Como esta é uma vulnerabilidade em nível de protocolo, outros produtos além da Microsoft são afetados por servidores DNS conhecidos como bind, powerdns, dnsmasq e outros que também lançam atualizações para resolver esse problema.”
A falha mais grave corrigida na atualização deste mês é uma falha crítica de execução remota de código (RCE) no serviço Microsoft Message Queuing (MSMQ) (CVE-2024-30080, pontuação CVSS: 9,8).
“Para explorar esta vulnerabilidade, um invasor precisaria enviar um pacote MSMQ malicioso especialmente criado para um servidor MSMQ”, disse a Microsoft. “Isso pode resultar na execução remota de código no lado do servidor.”
Também foram resolvidos por Redmond vários outros bugs RCE que afetam o Microsoft Outlook (CVE-2024-30103), o driver Wi-Fi do Home windows (CVE-2024-30078) e inúmeras falhas de escalonamento de privilégios no subsistema de kernel Win32 do Home windows (CVE-2024-30086) , driver de minifiltro de arquivos em nuvem do Home windows (CVE-2024-30085) e Win32k (CVE-2024-30082), entre outros.
A empresa de segurança cibernética Morphisec, que descobriu o CVE-2024-30103, disse que a falha poderia ser usada para acionar a execução de código sem exigir que os usuários clicassem ou interagissem com o conteúdo do e-mail.
“Esta falta de interação necessária do usuário, combinada com a natureza direta da exploração, aumenta a probabilidade de os adversários aproveitarem esta vulnerabilidade para o acesso inicial”, disse o pesquisador de segurança Michael Gorelik.
“Depois que um invasor explora com sucesso esta vulnerabilidade, ele pode executar código arbitrário com os mesmos privilégios do usuário, levando potencialmente ao comprometimento whole do sistema”.
Patches de software program de outros fornecedores
Além da Microsoft, atualizações de segurança também foram lançadas por outros fornecedores nas últimas semanas para corrigir diversas vulnerabilidades, incluindo –
