A Microsoft lançou grandes patches este mês para corrigir várias falhas de segurança que já estão sendo usadas em ataques. Maio também foi um mês crítico para software corporativo, com GitLab, SAP e Cisco lançando correções para vários bugs em seus produtos.
Aqui está tudo o que você precisa saber sobre as atualizações de segurança lançadas em maio.
ADVERTISEMENT
Apple iOS e iPadOS 16.5
A Apple lançou sua tão esperada atualização pontual iOS 16.5 , abordando 39 problemas, três dos quais já estão sendo explorados em ataques da vida real. A atualização do iOS corrige vulnerabilidades no Kernel no coração do sistema operacional e no WebKit, o mecanismo que alimenta o navegador Safari. As três falhas já exploradas estão entre as cinco corrigidas no WebKit – rastreadas como CVE-2023-32409, CVE-2023-28204 e CVE-2023-32373.
O CVE-2023-32409 é um problema que pode permitir que um invasor saia da caixa de proteção do conteúdo da Web remotamente, relatado por Clément Lecigne, do Grupo de análise de ameaças do Google, e Donncha Ó Cearbhaill, do Laboratório de segurança da Anistia Internacional. CVE-2023-28204 é uma falha que corre o risco de um usuário divulgar informações confidenciais. Por fim, o CVE-2023-32373 é um bug de uso após a liberação que pode permitir a execução arbitrária de código.
No início do mês, a Apple lançou o iOS 16.4.1 (a) e o iPadOS 16.4.1 (a) – a primeira atualização de resposta rápida de segurança do fabricante do iPhone – corrigindo as duas últimas vulnerabilidades exploradas do WebKit também corrigidas no iOS 16.5.
Apple iOS e iPadOS 16.5 foram lançados juntamente com iOS 15.7.6 e iPadOS 15.7.6 para iPhones mais antigos, bem como iTunes 12.12.9 para Windows, Safari 16.5, macOS Big Sur 11.7.7, macOS Ventura 13.4 e macOS Monterey 12.6. 6.
A Apple também lançou sua primeira atualização de segurança para fones de ouvido Beats e AirPods.
Microsoft
O Patch Tuesday da Microsoft no meio do mês corrigiu 40 problemas de segurança, dois dos quais eram falhas de dia zero que já estavam sendo usadas em ataques. A primeira vulnerabilidade de dia zero, CVE-2023-29336 , é um bug de elevação de privilégio no driver Win32k que pode permitir que um invasor obtenha privilégios do sistema.
A segunda falha grave, CVE-2023-24932 , é um problema de desvio do recurso de segurança Secure Boot que pode permitir que um invasor privilegiado execute o código. “Um invasor que explorou com sucesso esta vulnerabilidade pode ignorar o Secure Boot”, disse a Microsoft, acrescentando que a falha é difícil de explorar: “A exploração bem-sucedida desta vulnerabilidade requer que um invasor comprometa as credenciais de administrador no dispositivo”.
A atualização de segurança não é uma correção completa: ela aborda a vulnerabilidade atualizando o Windows Boot Manager, o que pode causar problemas, alertou a empresa. Etapas adicionais são necessárias neste momento para mitigar a vulnerabilidade, disse a Microsoft, apontando as etapas que os usuários afetados podem seguir para mitigar o problema.
Google Android
O Google lançou seus últimos patches de segurança do Android , corrigindo 40 falhas, incluindo uma vulnerabilidade do Kernel já explorada. As atualizações também incluem correções para problemas nos componentes Android Framework, System, Kernel, MediaTek, Unisoc e Qualcomm.
O mais grave desses problemas é uma vulnerabilidade de segurança de alta gravidade no componente Framework que pode levar à escalada local de privilégio, disse o Google, acrescentando que a interação do usuário é necessária para a exploração.
Anteriormente vinculado a fornecedores de spyware comercial, o CVE-2023-0266 é um problema de kernel que pode levar a uma escalada local de privilégio. A interação do usuário não é necessária para a exploração.
O Boletim de segurança do Android de maio está disponível para dispositivos, incluindo smartphones e tablets Pixel do próprio Google, bem como vários dispositivos da série Galaxy da Samsung .
Google Chrome 113
O Google lançou o Chrome 113 , que inclui 15 patches para seu popular navegador. Uma dessas falhas corrigidas é o CVE-2023-2459 , um bug de implementação inapropriado em Prompts classificado como de gravidade média.
CVE-2023-2461 é um problema de uso após liberação de gravidade média nas entradas do sistema operacional, e CVE-2023-2462, CVE-2023-2463, CVE-2023-2464 e CVE-2023-2465 são falhas de implementação inadequadas de gravidade média .
O Google também corrigiu várias vulnerabilidades do Chrome de implementação inadequada classificadas como de baixa gravidade.
Enquanto isso, o Google anunciou que está implementando um novo sistema de classificação de qualidade para relatórios de vulnerabilidade de segurança. O sistema classificará os relatórios como de alta, média ou baixa qualidade com base no nível de detalhe fornecido. “Acreditamos que este novo sistema incentivará os pesquisadores a fornecer relatórios mais detalhados, o que nos ajudará a resolver os problemas relatados mais rapidamente e permitir que os pesquisadores recebam recompensas mais altas”, disse o Google, acrescentando que a mais alta qualidade e as vulnerabilidades mais críticas agora são elegíveis . para recompensas de até $ 15.000.
GitLabGenericName
A plataforma DevOps de código aberto GitLab emitiu uma atualização de segurança para corrigir uma falha grave. Rastreada como CVE-2023-2825 , a vulnerabilidade de path traversal pode permitir que um usuário mal-intencionado não autenticado leia arquivos arbitrários no servidor. Desnecessário dizer que o problema é sério – ele recebeu uma pontuação CVSS de 10.
A atualização, 16.0.1 para GitLab Community Edition (CE) e Enterprise Edition (EE), é necessária apenas para instalações executando 16.0.0 e não afeta versões anteriores. Este é um problema de gravidade crítica, disse o GitLab em um comunicado . “Recomendamos fortemente que todas as instalações que executam uma versão afetada pelos problemas descritos sejam atualizadas para a versão mais recente o mais rápido possível.”
Cisco
A gigante do software empresarial Cisco corrigiu várias vulnerabilidades na interface do usuário baseada na Web de certos switches Cisco Small Business Series que podem permitir que um invasor remoto não autenticado cause negação de serviço (DoS) ou execute código arbitrário com privilégios de root.
Com uma pontuação básica CVSS de 9,8, o CVE-2023-20159 é uma vulnerabilidade de estouro de buffer de pilha que pode ser explorada enviando uma solicitação criada por meio da interface do usuário baseada na Web, disse a Cisco .
Também com uma pontuação básica CVSS de 9,8, CVE-2023-20160, CVE-2023-20161 e CVE-2023-20189 são vulnerabilidades de estouro de buffer de pilha não autenticado. Enquanto isso, CVE-2023-20024 , CVE-2023-20156 e CVE-2023-20157 são problemas de estouro de buffer de heap não autenticado na interface do usuário baseada na Web dos switches Cisco Small Business Series que podem permitir que um invasor remoto não autenticado cause uma negação de serviço (DoS).
SEIVA
A fabricante de software SAP emitiu 25 notas de segurança novas e atualizadas em seu Patch Day de segurança de maio de 2023 , incluindo uma correção para uma falha com uma pontuação CVSS de 9,8. CVE-2021-44152 é um problema no Reprise RLM 14.2 que pode permitir que um invasor não autenticado altere a senha de qualquer usuário existente.
Enquanto isso, o CVE-2023-28762 abrange vulnerabilidades de divulgação de informações na SAP BusinessObjects Intelligence Platform. O mais novo e crítico “permite que um invasor autenticado com privilégios de administrador obtenha o token de login de qualquer usuário ou servidor de BI conectado na rede sem qualquer interação do usuário”, disse a empresa de segurança Onapsis .
Fonte leia mais: https://www.wired.com/story/apple-ios-16-5-security-flaws-critical-update-may-2023/
