Τα σφάλματα Microsoft Zero-Day επιτρέπουν την παράκαμψη λειτουργιών ασφαλείας

Οι ομάδες πληροφορικής θα πρέπει να δώσουν προτεραιότητα στην επιδιόρθωση δύο σημείων ευπάθειας zero-day, μία στον μηχανισμό ελέγχου ταυτότητας του Microsoft Outlook και μία άλλη που αποτελεί παράκαμψη του Mark of the Web, δήλωσαν σήμερα ειδικοί σε θέματα ασφάλειας. Και τα δύο αποτελούν μέρος μιας κρυφής μνήμης 74 σφαλμάτων ασφαλείας που η Microsoft αποκάλυψε στην ενημέρωση ασφαλείας του Μαρτίου, ενημέρωσης κώδικα, Τρίτη.

Σε μια ανάρτηση ιστολογίου, ερευνητές από το Automox το συνέστησαν Οι οργανισμοί επιδιορθώνουν και τα δύο τρωτά σημεία εντός 24 ωρών αφού οι επιτιθέμενοι τους εκμεταλλεύονται στην άγρια ​​φύση. 

Επιπλέον, αρκετά από τα κρίσιμα ελαττώματα στην ενημέρωση του Μαρτίου επιτρέπουν την απομακρυσμένη εκτέλεση κώδικα (RCE), γεγονός που τα καθιστά υψηλή προτεραιότητα και για την ενημέρωση κώδικα. 

Οι πωλητές είχαν ελαφρώς διαφορετικές αντιλήψεις σχετικά με τον συνολικό αριθμό νέων κρίσιμων τρωτών σημείων Η ενημέρωση Μαρτίου της Microsoft — πιθανόν λόγω διαφορών σε αυτά που συμπεριέλαβαν στην καταμέτρηση. Το Zero-Day Initiative (ZDI) της Trend Micro, για παράδειγμα, εντόπισε έξι από τα τρωτά σημεία στην ενημέρωση Μαρτίου της Microsoft ως κρίσιμα, ενώ το Tenable και το Action1 προσάρτησαν τον αριθμό σε εννέα.

Ημέρα Κλιμάκωσης Προνομίων Μηδέν

Μία από τις ημέρες μηδέν είναι μια ευπάθεια κλιμάκωσης κρίσιμου προνομίου στο Microsoft Outlook που παρακολουθείται ως CVE-2023-23397, το οποίο επιτρέπει σε έναν εισβολέα να αποκτήσει πρόσβαση στον κατακερματισμό ελέγχου ταυτότητας πρόκλησης-απόκρισης Net-NTLMv2 του θύματος και στη συνέχεια να πλαστοπροσωπήσει τον χρήστη. 

Αυτό που καθιστά το σφάλμα επικίνδυνο είναι ότι ένας εισβολέας θα μπορούσε να το ενεργοποιήσει απλώς στέλνοντας ένα ειδικά διαμορφωμένο μήνυμα ηλεκτρονικού ταχυδρομείου που το Outlook ανακτά και επεξεργάζεται πριν καν ο χρήστης το δει στο παράθυρο προεπισκόπησης.

«Αυτό συμβαίνει επειδή η ευπάθεια ενεργοποιείται από την πλευρά του διακομιστή email, που σημαίνει ότι η εκμετάλλευση θα συμβεί πριν το θύμα δει το κακόβουλο email», δήλωσε ο Satnam Narang, ανώτερος ερευνητής του προσωπικού της Tenable σε ένα σχόλιο που εστάλη μέσω email. Ένας εισβολέας θα μπορούσε να χρησιμοποιήσει τον κατακερματισμό Net-NLMv2 του θύματος για να πραγματοποιήσει μια επίθεση που εκμεταλλεύεται τον μηχανισμό απόκρισης πρόκλησης NTLM και επιτρέπει στον αντίπαλο να πιστοποιήσει την ταυτότητα του χρήστη.

Αυτό καθιστά το σφάλμα περισσότερο μια ευπάθεια παράκαμψης ελέγχου ταυτότητας παρά ένα ζήτημα κλιμάκωσης προνομίων, πρόσθεσε ο ερευνητής του ZDI Dustin Childs, σε μια ανάρτηση ιστολογίου που συνόψιζε τα πιο σημαντικά ελαττώματα στην ενημέρωση της Microsoft για την ενημέρωση Μαρτίου την Τρίτη. Η απενεργοποίηση της επιλογής του παραθύρου προεπισκόπησης δεν θα μετριάσει την απειλή επειδή το σφάλμα ενεργοποιείται ακόμη και πριν από αυτό, έγραψε.

Η Microsoft απέδωσε την ανακάλυψη του σφάλματος σε ερευνητές από την Ομάδα Αντιμετώπισης Έκτακτης Ανάγκης Υπολογιστών της Ουκρανίας (CERT) καθώς και σε έναν από τους ερευνητές της.

Οι οργανισμοί που δεν μπορούν να επιδιορθώσουν αμέσως το CVE-2023-23397 θα πρέπει να εξετάσουν το ενδεχόμενο εφαρμογής του μετριασμού της Microsoft για το ελάττωμα, το οποίο εμποδίζει τη χρήση του NTLM ως μηχανισμού ελέγχου ταυτότητας, είπε η Automox.

Σφάλμα παράκαμψης λειτουργιών ασφαλείας που γίνεται ενεργά εκμετάλλευση

Η Microsoft εντόπισε το δεύτερο σφάλμα μηδενικής ημέρας ως CVE-2023-24880, ένα πρόβλημα παράκαμψης της δυνατότητας ασφαλείας των Windows SmartScreen που θα μπορούσε να χρησιμοποιήσει ο εισβολέας για να παρακάμψει το Σήμα της ονομασίας Web που χρησιμοποιεί η Microsoft για τον εντοπισμό αρχείων που μπορεί να κατεβάσει ένας χρήστης από το Διαδίκτυο. 

Η λειτουργία έχει σχεδιαστεί για να προειδοποιεί τους χρήστες σχετικά με δυνητικά μη ασφαλές περιεχόμενο. Το CVE-2023-24880 επηρεάζει όλα τα επιτραπέζια συστήματα που εκτελούν Windows 10 και άνω και τα συστήματα με Windows Server 2016, 2019 και 2022.

Ο Chris Goettl, αντιπρόεδρος προϊόντων ασφαλείας στην Ivanti, προειδοποίησε τους διαχειριστές να μην παρασύρονται σε μια αίσθηση ψευδούς ασφάλειας από τη σχετικά χαμηλή βαθμολογία σοβαρότητας της Microsoft για το ελάττωμα. 

«Η βαθμολογία CVSSv3.1 είναι μόνο 5.4, κάτι που μπορεί να μην ειδοποιηθεί από πολλούς οργανισμούς», δήλωσε ο Goettl σε μια δήλωση. Από μόνο του, το CVE μπορεί να μην είναι τόσο απειλητικό, «αλλά πιθανότατα χρησιμοποιήθηκε σε μια αλυσίδα επίθεσης με πρόσθετα κατορθώματα», προειδοποίησε.

Άλλα σφάλματα ασφαλείας σε υψηλή προτεραιότητα επιδιόρθωσης

Ένα από τα ελαττώματα του RCE που πρέπει να σημειώσουμε είναι CVE-2023-23415, το οποίο υπάρχει στο Πρωτόκολλο μηνυμάτων ελέγχου Internet (ICMP) που χρησιμοποιούν οι συσκευές δικτύου για τη διάγνωση προβλημάτων επικοινωνίας. 

"Ένας εισβολέας μπορεί να εκμεταλλευτεί εξ αποστάσεως αυτήν την ευπάθεια μέσω της χρήσης ενός σφάλματος πρωτοκόλλου χαμηλού επιπέδου που περιέχει ένα κατακερματισμένο πακέτο IP στην κεφαλίδα του που αποστέλλεται στο μηχάνημα-στόχο", δήλωσε η Microsoft. Η ευπάθεια επηρεάζει πολλά προϊόντα της Microsoft, συμπεριλαμβανομένων των Windows 10, Windows 11, Windows Server 2008, 2012, 2016, 2019 και 2022.

Το ZDI, το Automox και το Action1 εντόπισαν επίσης μια ευπάθεια RCE με σχεδόν μέγιστη σοβαρότητα 9.8 στην κλίμακα CVSS στη Στοίβα πρωτοκόλλου HTTP ως ένα άλλο ζήτημα που οι οργανισμοί μπορεί να θέλουν να δώσουν προτεραιότητα. 

Η ευπάθεια (CVE-2023-23392) επιτρέπει σε έναν εισβολέα χωρίς έλεγχο ταυτότητας να στείλει ένα ειδικά διαμορφωμένο πακέτο σε έναν διακομιστή που χρησιμοποιεί τη Στοίβα πρωτοκόλλου HTTP που οδηγεί στο RCE. «Η ευπάθεια επηρεάζει τον Windows Server 2022 και τα Windows 11 και έχει ένα διάνυσμα επίθεσης χαμηλής πολυπλοκότητας που δεν απαιτεί προνόμια ή αλληλεπίδραση με τον χρήστη», προειδοποίησε το Action1. Εξαιτίας αυτού, η Microsoft έχει αξιολογήσει την ευπάθεια ως ευπάθεια την οποία οι φορείς απειλών είναι πιο πιθανό να εκμεταλλευτούν από άλλα ελαττώματα.

Η Automox συνέστησε επίσης να απευθύνονται οι οργανισμοί CVE-2023-23416, ένα σφάλμα RCE στο πρωτόκολλο των Windows Cryptographic Services, εντός 72 ωρών. Αυτό συμβαίνει επειδή, μεταξύ άλλων, επηρεάζει όλες τις εκδόσεις επιτραπέζιων υπολογιστών Windows 10 και νεότερες εκδόσεις, καθώς και όλες τις εκδόσεις διακομιστή Windows από τον Server 2012 και μετά.

Εκτός από τις ενημερώσεις κώδικα για νέες ευπάθειες, η Microsoft εξέδωσε επίσης ενημερώσεις για τέσσερα παλαιότερα ελαττώματα — όλα από το 2022 — στον κύκλο ενημερώσεων κώδικα του Μαρτίου. Η ενημέρωση επεκτείνει τον αριθμό του λογισμικού και των εφαρμογών της Microsoft που επηρεάζονται από τα τρωτά σημεία και παρέχει μια ενημέρωση κώδικα για αυτά, είπε ο Ivanti. Ο προμηθευτής ασφαλείας προσδιόρισε τις τέσσερις ενημερωμένες ενημερώσεις κώδικα ως CVE-2022-43552, CVE-2022-23257, CVE-2022-23825, να CVE-2022-23816.

• SEO Powered Content & PR Distribution. Ενισχύστε σήμερα.
• Platoblockchain. Web3 Metaverse Intelligence. Ενισχύθηκε η γνώση. Πρόσβαση εδώ.
• πηγή: https://www.darkreading.com/vulnerabilities-threats/microsoft-zero-day-bugs-security-feature-bypass