Microsoft corrige cinco vulnerabilidades críticas de dia zero no Patch Tuesday de novembro

A Microsoft lançou recentemente atualizações para endereçar 63 problemas de segurança em seu software para o mês de novembro de 2023, incluindo três vulnerabilidades que vêm sendo ativamente exploradas na natureza.

Das 63 falhas, três são classificadas como Críticas, 56 são classificadas como Importantes e quatro são classificadas como Moderadas em termos de severidade. Duas delas foram listadas como de conhecimento público no momento do lançamento.

As atualizações são adicionais a mais de 35 deficiências de segurança endereçadas no navegador Edge baseado em Chromium desde o lançamento das atualizações do Patch Tuesday de outubro de 2023.

Os cinco dias zero que se destacam são os seguintes:

• CVE-2023-36025 (pontuação CVSS: 8,8) - Vulnerabilidade de desvio de recurso de segurança do Windows SmartScreen
• CVE-2023-36033 (pontuação CVSS: 7,8) - Vulnerabilidade de elevação de privilégio da biblioteca principal do Windows DWM
• CVE-2023-36036 (pontuação CVSS: 7,8) - Vulnerabilidade de elevação de privilégio do driver de filtro mini do Windows Cloud Files
• CVE-2023-36038 (pontuação CVSS: 8,2) - Vulnerabilidade de negação de serviço do ASP.NET Core
• CVE-2023-36413 (pontuação CVSS: 6,5) - Vulnerabilidade de desvio de recurso de segurança do Microsoft Office

Tanto o CVE-2023-36033 quanto o CVE-2023-36036 poderiam ser explorados por um invasor para obter privilégios de SYSTEM, enquanto o CVE-2023-36025 poderia tornar possível contornar as verificações do Windows Defender SmartScreen e seus prompts associados.

"O usuário teria que clicar em um atalho da Internet (.URL), especialmente elaborado ou em um hiperlink apontando para um arquivo de atalho da Internet para ser comprometido pelo invasor", disse a Microsoft sobre o CVE-2023-36025.

O CVE-2023-36025 é a terceira vulnerabilidade zero-day do Windows SmartScreen explorada na natureza em 2023 e a quarta nos últimos dois anos. Em dezembro de 2022, a Microsoft corrigiu o CVE-2022-44698 (pontuação CVSS: 5,4), enquanto o CVE-2023-24880 (pontuação CVSS: 5,1) foi corrigido em março e o CVE-2023-32049 (pontuação CVSS: 8,8) foi corrigido em julho.

No entanto, a Microsoft não forneceu mais orientações sobre os mecanismos de ataque empregados e os autores das ameaças que podem estar armando-os. Mas a exploração ativa das falhas de elevação de privilégio sugere que elas provavelmente são usadas em conjunto com um bug de execução remota de código.

"Houve 12 vulnerabilidades de elevação de privilégio na biblioteca principal do DWM nos últimos dois anos, embora esta seja a primeira a ter sido explorada na natureza como um dia zero", disse Satnam Narang, engenheiro sênior de pesquisa de ameaças da Tenable, em declaração compartilhada com o The Hacker News.

O desenvolvimento levou a Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) a adicionar as três vulnerabilidades ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), instando as agências federais a aplicar as correções até 5 de dezembro de 2023.

Também corrigidos pela Microsoft estão duas falhas críticas de execução remota de código no Protocolo de Autenticação Extensível Protegido e no Multicast Geral Pragmático (CVE-2023-36028 e CVE-2023-36397, pontuações CVSS: 9,8) que um invasor poderia alavancar para desencadear a execução de código malicioso.

A atualização de novembro também inclui um patch para o CVE-2023-38545 (pontuação CVSS: 9,8), uma vulnerabilidade crítica de buffer overflow baseado em heap na biblioteca curl que veio à tona no mês passado, bem como uma vulnerabilidade de divulgação de informações no Azure CLI (CVE-2023-36052, pontuação CVSS: 8,6).

"Um invasor que explorasse com sucesso essa vulnerabilidade poderia recuperar senhas e nomes de usuário em texto simples de arquivos de log criados pelos comandos CLI afetados e publicados pelo Azure DevOps e/ou GitHub Actions", disse a Microsoft.

O pesquisador da Palo Alto Networks Aviad Hahami, que relatou o problema, disse que a vulnerabilidade poderia permitir o acesso a credenciais armazenadas no log do pipeline e permitir que um adversário potencialmente eleve seus privilégios para ataques subsequentes.

Em resposta, a Microsoft disse que fez alterações em vários comandos do Azure CLI para proteger o Azure CLI (versão 2.54) contra o uso inadvertido que poderia levar à exposição de segredos.

As atualizações mais recentes incluem correções para 63 vulnerabilidades, incluindo três zero-days sendo ativamente explorados. Os administradores de sistema devem priorizar a aplicação dessas atualizações críticas para mitigar o risco de comprometimento. É recomendável fazer backup dos dados, imagens do sistema e testar as atualizações antes da implantação. As vulnerabilidades de elevação de privilégio e desvio de recursos de segurança são especialmente preocupantes e provavelmente estão sendo usadas em ataques direcionados.

Quer amadurecer seu programa de segurança cibernética através do gerenciamento de vulnerabilidades? Conheça a EcoTrust, a #1 plataforma SaaS de Inteligência em Riscos Cibernéticos, que através da identificação e priorização de riscos cibernéticos críticos para o negócio, ajuda empresas a serem mais resilientes a ataques cibernéticos. Agende uma demo aqui