مایکروسافت به‌روزرسانی‌های امنیتی را برای رفع ۵۱ نقص[۱] به‌عنوان بخشی از به‌روزرسانی‌های سه‌شنبه‌های خود برای ژوئن ۲۰۲۴ منتشر کرده است.
از ۵۱ آسیب‌پذیری، یک آسیب‌پذیری بحرانی و ۵۰ آسیب‌پذیری مهم رتبه‌بندی شده‌اند. این علاوه بر ۱۷ آسیب‌پذیری[۲] است که در مرورگر اج مبتنی بر Chromium طی ماه گذشته برطرف شده است.
هیچ یک از نقص‌های امنیتی به طور فعال در سطح اینترنت مورد بهره‌برداری قرار نگرفته است و یکی از آنها در زمان انتشار به‌عنوان عمومی شناخته شده است.
این مربوط به یک مشاوره شخص ثالث است که به‌عنوان CVE-2023-50868 ردیابی شده است[۳] (امتیاز ۵/۷ در مقیاس CVSS)، یک مشکل انکار سرویس که بر روند اعتبار سنجی DNSSEC تأثیر می گذارد و می تواند باعث exhaustion پردازنده در یک resolver اعتبار سنجی DNSSEC شود.
این توسط محققان مرکز تحقیقات ملی امنیت سایبری کاربردی (ATHENE) در Darmstadt در ماه فوریه، در کنار KeyTrap (CVE-2023-50387، امتیاز ۵/۷ در مقیاس CVSS) گزارش شد[۴].
Tyler Reguly، معاون بخش تحقیق و توسعه امنیت در Fortra، در بیانیه‌ای گفت: «NSEC3 نسخه بهبودیافته NSEC (Next Secure) است که انکار وجودی تأیید شده را ارائه می‌کند. با اثبات عدم وجود یک رکورد (با شواهدی از سوابق اطراف)، می‌توانید به جلوگیری از DNS Cache poisoning در برابر دامنه‌های غیر موجود کمک کنید.»
ازآنجایی‌که این یک آسیب‌پذیری در سطح پروتکل است، محصولاتی غیر از مایکروسافت تحت‌تأثیر سرورهای DNS معروف مانند bind، powerdns و dnsmasq سایر مواردی هستند که به‌روزرسانی‌هایی را برای حل این مشکل منتشر می‌کنند.
شدیدترین نقص رفع شده در به‌روزرسانی این ماه، نقص اجرای کد از راه دور (RCE) حیاتی در سرویس صف پیام مایکروسافت (MSMQ) (CVE-2024-30080، امتیاز ۸/۹ در مقیاس CVSS) است[۵].
مایکروسافت گفت: “برای بهره‌برداری از این آسیب‌پذیری، یک مهاجم باید یک بسته مخرب MSMQ ساخته شده ویژه را به سرور MSMQ ارسال کند. این می‌تواند منجر به اجرای کد از راه دور در سمت سرور شود.”
همچنین چندین باگ RCE دیگر که روی Microsoft Outlook (CVE-2024-30103) و Windows Wi-Fi Driver (CVE-2024-30078) تأثیر می‌گذارند، توسط ردموند برطرف شده است. همچنین چندین نقص افزایش امتیاز در زیرسیستم هسته ویندوز Win32 (CVE-2024-30086)، درایور فیلتر کوچک Windows Cloud Files (CVE-2024-30085) و Win32k (CVE-2024-30082) و غیره نیز برطرف شده‌اند.
شرکت امنیت سایبری Morphisec که CVE-2024-30103 را کشف کرد، گفت که این نقص می‌تواند برای اجرای کد بدون نیاز به کلیک‌کردن یا تعامل کاربران با محتوای ایمیل استفاده شود.
Michael Gorelik، محقق امنیتی، گفت[۶]: «این عدم تعامل موردنیاز کاربر، همراه با ماهیت ساده بهره‌بردار، این احتمال را افزایش می‌دهد که دشمنان از این آسیب‌پذیری برای دسترسی اولیه استفاده کنند».
هنگامی که یک مهاجم با موفقیت از این آسیب‌پذیری بهره‌برداری کرد، می‌تواند کد دلخواه را با همان امتیازات کاربر اجرا کند که به طور بالقوه منجر به به‌خطرافتادن کامل سیستم می‌شود.
وصله‌های نرم‌افزاری از سایر فروشندگان
علاوه بر مایکروسافت، به‌روزرسانی‌های امنیتی توسط سایر فروشندگان نیز در چند هفته گذشته برای اصلاح چندین آسیب‌پذیری منتشر شده است، از جمله:
- Adobe
- Amazon Web Services
- AMD
- Apple visionOS
- Arm
- ASUS
- Atlassian
- AutomationDirect
- Bosch
- Broadcom (including VMware)
- Cisco
- Citrix
- Cox
- D-Link
- Dell
- Drupal
- F5
- Fortinet
- Fortra Tripwire Enterprise
- GitLab
- Google Android
- Google Chrome
- Google Cloud
- Google Wear OS
- Hitachi Energy
- HP
- HP Enterprise
- HP Enterprise Aruba Networks
- IBM
- Ivanti
- Jenkins
- Juniper Networks
- Lenovo
- Linux distributions Debian, Oracle Linux, Red Hat,
- SUSE, and Ubuntu
- MediaTek
- Mitsubishi Electric
- Mozilla Firefox and Firefox ESR
- NETGEAR
- NVIDIA
- PHP
- Progress Software
- QNAP
- Qualcomm
- Samsung
- SAP
- Schneider Electric
- Siemens
- SolarWinds
- Sophos
- Synology
- TP-Link
- Trend Micro
- Veeam
- Veritas
- Zoho ManageEngine ServiceDesk Plus
- Zoom, and
- Zyxel
منابع
[۱] https://msrc.microsoft.com/update-guide/releaseNote/2024-Jun
[۲] https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security
[۳] https://nvd.nist.gov/vuln/detail/CVE-2023-50868
[۴] https://apa.aut.ac.ir/?p=10289
[۵] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-30080
[۶] https://blog.morphisec.com/cve-2024-30103-microsoft-outlook-vulnerability
[۷] https://thehackernews.com/2024/06/microsoft-issues-patches-for-51-flaws.html
ثبت ديدگاه