Udnyttelse af 0-dagssårbarheder i Microsofts softwareprodukter viser ingen tegn på at blive mindre. Sådan skriver Security Week på baggrund af denne måneds Patch Tuesday fra Microsoft, som også er omtalt i en række andre medier.
I denne måned er der tale om rettelser af bl.a. seks 0-dagssårbarheder, der er under udnyttelse in-the-wild, hvorfor Microsoft opfordrer Windows-administratorer til at håndtere opdateringerne ’with outmost urgency’.
Google har udsendt sikkerhedsopdatering til Chrome webbrowseren. Det skriver en række medier. Opdateringen håndterer en 0-dagssårbarhed, der allerede nu er kendt som værende under udnyttelse.
Der er tale om en alvorlig sårbarhed i Type Confusion i V8. Med opdateringen har Chrome nummer 107.0.5304.87 til Mac og Linux og 107.0.5304.87/.88 til Windows.
Microsoft har revideret sine anbefalinger til afbødning af risikoen for udnyttelse af de nyligt afslørede og aktivt udnyttede 0-dags-fejl i Exchange Server.
Det skriver Bleeping Computer og The Hacker News.
De to sårbarheder har id’erne CVE-2022-41040 og CVE-2022-41082 og begge ligger i den høje ende på CVSS-skalaen med score på 8,8. Sårbarhederne har fået navnet ProxyNotShell – ifølge Hacker News på grund af ligheder med de ProxyShell-fejl, som blev rettet sidste år.
Det skriver Bleeping Computer som opfølgning på en historie fra tidligere i dag om, at et vietnamesisk sikkerhedsfirma, GTSC, havde fundet to sårbarheder i Exchange og rapporteret dem til Zero Day Initiative.
At Microsoft har bekræftet dem betyder også, at der er kommet id-numre på dem i form af CVE’erne CVE-2022-41040 og CVE-2022-41082. Den første er en Server-Side Request Forgery (SSRF) sårbarhed, mens den anden ifølge Microsoft tillader fjernafvikling af kode (RCE), når PowerShell er tilgængelig for angriber.
Researchere ved et vietnamesisk sikkerhedsfirma oplyser, at trusselsaktører er i gang med at udnytte endnu ikke afslørede Microsoft Exchange 0-dagsfejl til fjernafvikling af kode.
Det skriver Bleeping Computer med henvisning til en blogpost fra virksomheden GTSC.
Apple har i denne uge udrullet nødpatches, der adresserer et par allerede udnyttede 0-dages sårbarheder på macOS- og iOS-platformene.
Det skriver Security Week og Bleeping Computer.
Apple har selv bekræftet udnyttelserne, der vedrører fejl ved kodeudførelse i fuldt patchede iPhone-, iPad- og macOS-enheder. Ifølge Bleeping Computer har 0-dagssårbarhederne været brugt til at implementere NSO iPhone-spyware. Der er ingen detaljer om udnyttelsen eller givet oplysninger om IoC’er (indicators of compromise), der kan bruges til at finde tegn på infektioner.
En uge efter udsendelse af en rettelse til en kritisk fejl i VMware Workspace ONE Access, Identity Manager og vRealize Automation advarer VMware om, at en exploit-kode er blevet offentlig tilgængelig. Det skriver Security Week.
Fejlen med id-nummeret CVE-2022-31656 og en score på 9,8 blev kendt i starten af august og giver angribere mulighed for at få administrativ adgang uden godkendelse. Og nu – en uge efter – er der altså en exploit-kode tilgængelig, hvilket er anledningen til advarslen.
Det har været Microsofts Patch Tuesday og med dette rettelse af hele 121 fejl, hvoraf en er en aktivt udnyttet nul-dages sårbarhed og 17 med betegnelsen ’kritiske’. Det skriver Bleeping Computer og en række andre medier.
De 17 fejl er vurderet til at være kritiske, da de muliggør remote code execution eller privileges elevation.
Google har udsendt en ny version af Chrome til Windows, Mac og Linux, der adresserer en alvorlig nul-dages sårbarhed, der angiveligt bruges af trusselsaktører i angreb. Det skriver Bleeping Computer.
