Новости

Microsoft выпустил исправления для 79 уязвимостей, включая 3 активно используемых в Windows

Microsoft выпустила Patch Tuesday за сентябрь 2024 года, устраняя 79 уязвимостей в своей операционной системе Windows. Среди них три уязвимости, уже активно используемые злоумышленниками, а также одна ошибка, которую Microsoft считает "эксплуатируемой".
CVE-2024-38014 (оценка CVSS: 7,8) – Уязвимость с повышением привилегий в установщике Windows. Это значит, что злоумышленник может получить повышенные права доступа к системе, запустив специально созданный файл.
CVE-2024-38217 (оценка CVSS: 5.4) – Уязвимость обхода функции безопасности Windows Mark-of-the-Web (MotW). Эта функция обычно блокирует запуск файлов, скачанных из недоверенных источников, но уязвимость позволяет обойти этот механизм.
CVE-2024-38226 (оценка CVSS: 7.3) – Уязвимость обхода функции безопасности Microsoft Publisher. В этом случае злоумышленник может использовать ошибку в Publisher, чтобы выполнить код без знания пользователя.
CVE-2024-43491 (оценка CVSS: 9,8) – Уязвимость удаленного выполнения кода в Центре обновления Microsoft Windows. Эта уязвимость самая опасная из всех, потому что злоумышленник может выполнить любой код на компьютере жертвы, получив полный контроль над системой.
"Использование как CVE-2024-38226, так и CVE-2024-38217 может привести к обходу важных функций безопасности, которые блокируют запуск макросов Microsoft Office", - говорится в заявлении Сатнама Наранга, старшего инженера-исследователя Tenable.
"В обоих случаях необходимо убедить цель открыть специально созданный файл с сервера, контролируемого злоумышленником. Их отличие заключается в том, что злоумышленнику потребуется пройти аутентификацию в системе и иметь локальный доступ к ней, чтобы использовать CVE-2024-38226."
Кроме устранения 79 уязвимостей в Windows, Microsoft также выпустила исправления для своего браузера Edge на основе Chromium, устранив 26 уязвимостей с момента предыдущего обновления.
В сообщении Microsoft уточняется, что некоторые уязвимости могут быть использованы злоумышленниками в целях финансовых операций, а также для кражи личной информации и разведки.
2024-09-12 10:00 Уязвимости