补丁星期二：微软、Adobe和Firefox纷纷修复已遭利用的 0day 漏洞
2023-9-13 16:41:20 Author: mp.weixin.qq.com(查看原文) 阅读量:6 收藏

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

今天是微软9月补丁星期二，共修复59个漏洞，其中2个是已遭利用的 0day。Adobe 和Mozilla公司也发布安全更新，分别修复了已遭利用的一个 0day。

微软

本次微软共修复59个漏洞，其中：

  • 3个安全特性绕过漏洞

  • 24个远程代码执行漏洞

  • 9个信息泄露漏洞

  • 3个拒绝服务漏洞

  • 5个欺骗漏洞

  • 5个Edge-Chromium 漏洞

已遭利用的两个0day 漏洞是：

  • CVE-2023-36802：微软 Streaming Service Proxy 提权漏洞。

  • CVE-2023-36371：微软Word 信息泄露漏洞，当打开文档时，攻击者可利用该漏洞窃取NTLM 哈希，而这些哈希可被破解或用于 NTLM 中继攻击中获取账户权限。预览面板也是攻击向量，意味着漏洞利用无需用户交互。

值得关注的其它漏洞还包括：

  • CVE-2023-29332：微软Azure Kubernetes Service 提权漏洞。它可导致远程未认证攻击者获得 Cluster Administration 权限。虽然此类漏洞此前出现过，但该漏洞由于可从互联网访问，无需用户交互且利用复杂度低，因此该漏洞值得关注。虽然微软给定的评级是“利用可能性较低“，但基于远程未认证攻击者即可利用，因此对于攻击者而言诱惑力也很大。

  • CVE-2023-38148：Internet Connection Sharing (ICS) 远程代码执行漏洞。虽然该漏洞的CVSS评分为8.8，但好在它仅限于网络临近攻击者，而且成功利用也需要启动ICS，可导致攻击者在受影响系统上运行代码。

  • CVE-2023-38146：Windows Themes 远程代码执行漏洞。该漏洞可能并非本月修复的最严重漏洞之一，但却引发一波回忆杀。如果攻击者可说服用户打开特别构造的主题文件，则可实现代码执行后果。如果听起来就像20多年前的屏保程序漏洞，确实如此。而这要多亏Pwn2Own 大赛获胜者 Thijs Alkemade 和 Daan Keuper 的努力，才让它出现在我们面前。

Adobe 修复已遭利用0day

Adobe 公司发布安全更新，修复了位于 Acrobat 和 Reader 中的一个 0day 漏洞CVE-2023-26369，虽然目前尚未发布详情，但已知情况是该漏洞同时影响 Windows 和 macOS 系统。

攻击者在成功利用一个界外写漏洞后，可利用该漏洞获得代码执行权限。Adobe 将该漏洞的评级为满分，并强烈建议管理员尽快在72小时时间窗口内修复该漏洞。该漏洞影响的产品如下：

Mozilla 紧急修复Firefox 中的已遭利用0day

Mozilla 公司紧急修复了一个已遭在野利用的严重漏洞CVE-2023-4863。该漏洞影响 Firefox 浏览器和 Thunderbird 邮件客户端。该漏洞是由位于 WebP 代码库 (libwebp) 中的堆缓冲溢出漏洞引发的，可导致设备崩溃、任意代码执行等后果。

Mozilla 公司已在 Firefox 117.0.1、Firefox ESR 115.2.1、Firefox ESR 102.15.1、Thunderbird 102.15.1和 Thunderbird 115.2.2中修复该漏洞。虽然关于该漏洞的具体详情尚未披露，但该漏洞已在真实场景中遭利用。因此强烈建议用户更新至Firefox 和 Thunderbird 最新版本，使系统免遭攻击。

Mozilla 还表示该漏洞还影响使用易受攻击 WebP 代码库版本的其它软件，其中之一就是谷歌 Chrome 浏览器。Chrome 浏览器将在数天或数周内向所有用户推送补丁。

代码卫士试用地址：https://codesafe.qianxin.com
开源卫士试用地址：https://oss.qianxin.com
推荐阅读

谷歌紧急修复已遭利用的 Chrome 0day

苹果紧急修复两个已遭利用的 0day

Rapid7 2023年中威胁局势回顾：勒索攻击ROI仍高居不下；0day 漏洞利用规模扩大

Ivanti 紧急修复 API 认证绕过0day漏洞

谷歌紧急修复已遭利用的 Chrome 0day

微软7月补丁星期二修复132个漏洞：5个已遭利用0day且1个无补丁

洞少事大：微软5月补丁星期二需关注的漏洞

原文链接

https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2023-patch-tuesday-fixes-2-zero-days-59-flaws/

https://www.bleepingcomputer.com/news/security/adobe-warns-of-critical-acrobat-and-reader-zero-day-exploited-in-attacks/

https://www.zerodayinitiative.com/blog/2023/9/12/the-september-2023-security-update-review

https://www.bleepingcomputer.com/news/security/mozilla-patches-firefox-thunderbird-against-zero-day-exploited-in-attacks/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~


文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247517643&idx=1&sn=83e85b6b9bf3a9f0cf0c1843c9589950&chksm=ea94b4a1dde33db74b2b9c5ff5da439c9a2169fcab51d215bdc495affe02787d31ab6bcf7b98&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh