[TLP:CLEAR] Microsoft Patch Tuesday, kritická zranitelnost v MSMQ
Microsoft v rámci svého Patch Tuesday vydal záplaty pro 51 zranitelností [1]. Mezi nimi opravuje i jednu kritickou zranitelnost vzdáleného spuštění kódu (RCE). Sedm zranitelností v prohlížečích bylo publikováno samostatně tento měsíc a nejsou zahrnuty v celkovém počtu [2]. Přehled všech zranitelností můžete nalézt v SANS tabulce [3].
Neautentizovanému vzdálenému útočníkovi je umožněno zasláním speciálně vytvořeného škodlivého paketu na MSMQ server využít chybu use-after-free v HTTP zpracovatelské funkci MSMQ zpráv a spustit libovolný kód [2].
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-30080 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-416: Use After Free at cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 6. 2024.
Autentizovanému vzdálenému útočníkovi je umožněno prostřednictvím aplikace Preview Pane v Outlooku obejít blokovací seznamy registru Outlook, vytvořit škodlivé DLL (Dynamic Link Library) soubory a vykonat RCE útok, pokud je autentizován pomocí platných uživatelských přihlašovacích údajů Microsoft Exchange [4].
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-30103 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-184: Incomplete List of Disallowed Inputs at cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 6. 2024.
Autentizovanému lokálnímu útočníkovi s oprávněním ke čtení je umožněno zvýšit svá oprávnění a provádět libovolné mazání souborů a složek na hostiteli, kde je Azure Monitor Agent nainstalován. Tato zranitelnost sice nezveřejňuje důvěrné informace, ale může útočníkovi umožnit mazání dat, což by mohlo vést k odepření služby [4].
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Více informací:
- CVE-2024-35254 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-59: Improper Link Resolution Before File Access ('Link Following') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 6. 2024.
Autentizovanému vzdálenému útočníkovi je umožněno spustit libovolný kód v Microsoft OLE (Object Linking and Embedding), pokud přiměje autentizovaného uživatele k pokusu o připojení ke škodlivé SQL server databázi pomocí připojovacího ovladače OLE DB nebo OLEDB [4].
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-30077 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-122: Heap-based Buffer Overflow at cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 6. 2024.
Autentizovanému lokálnímu útočníkovi je pomocí speciálně vytvořené škodlivé aplikace umožněno zvýšit svá oprávnění na úroveň SYSTEM, spustit kód nebo přistupovat k prostředkům na vyšší úrovni integrity [4].
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Více informací:
- CVE-2024-30068 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-125: Out-of-bounds Read at cwe.mitre.org
Zranitelnost byla veřejně oznámena 11. 6. 2024.
Odkazy
- [1] https://msrc.microsoft.com/update-guide/releaseNote/2024-Jun
- [2] https://www.rapid7.com/blog/post/2024/06/11/patch-tuesday-june-2024/
- [3] https://isc.sans.edu/diary/Microsoft+Patch+Tuesday+June+2024/31000/
- [4] https://blog.talosintelligence.com/only-one-critical-issue-disclosed-as-part-of-microsoft-patch-tuesday/
Za CESNET-CERTS Michaela Mačalíková dne 17. 6. 2024.