Af Eskil Sørensen, 10/04/24
Microsoft har tirsdag frigivet en stor bunke sikkerhedsrettelser, der adresserer mindst 150 sårbarheder.
Det skriver Security Week og en række andre medier, der særligt gør opmærksom på en sårbarhed med en CVSS-score på 9.
Sårbarheden har id’et CVE-2024-29990, og den gør det muligt for en uautoriseret hacker at stjæle legitimationsoplysninger og påvirke ressourcer ud over sikkerhedsområdet, der administreres af Azure Kubernetes Service Confidential Containers (AKSCC). Microsoft advarer om, at en uautoriseret angriber kan flytte den samme arbejdsbyrde til en anden maskinen under angriberens kontrol og hvor han/hun/den har root-rettigheder.
Derudover er der også rettelser til RCE-sårbarheder i Microsoft Defender til IOT og en omgåelse af Windows Secure Boot, der er markeret som allerede udnyttet. I alt er der rettelser til 67 remote core execution-sårbarheder.
I det hele tage er der flere sårbarheder i tilknytning til Windows OS og softwarekomponenter, Microsoft Office-produktivitetspakken, Microsoft SQL Server, DNS Server, Visual Studio og Bitlocker.
Security Week skriver med henvisning til ZDI, Zero Day Initiative, at denne måneds Patch Tuesday repræsenterer den største udgivelse af rettelser fra Microsoft siden mindst 2017.
Organisationer opfordres til at kigge
Links:
https://www.bleepingcomputer.com/news/microsoft/microsoft-april-2024-patch-tuesday-fixes-150-security-flaws-67-rces/
https://blog.talosintelligence.com/patch-tuesday-april-2024/
https://www.darkreading.com/vulnerabilities-threats/microsoft-patch-tuesday-no-zero-days-but-one-under-active-exploit
https://www.cisa.gov/news-events/alerts/2024/04/09/microsoft-releases-april-2024-security-updates
https://www.tripwire.com/state-of-security/vert-threat-alert-april-2024-patch-tuesday-analysis
https://blog.sonicwall.com/en-us/2024/04/microsoft-security-bulletin-coverage-for-april-2024/
https://www.helpnetsecurity.com/2024/04/09/april-2024-patch-tuesday-cve-2024-29988/
https://www.securityweek.com/microsoft-plugs-gaping-hole-in-azure-kubernetes-service-confidential-containers/
https://www.theregister.com/2024/04/10/april_patch_tuesday/