13 czerwca firma Microsoft wydała aktualizacje zabezpieczeń dotyczące 78 luk, w tym 38 luk umożliwiających zdalne wykonanie kodu. Podczas gdy trzydzieści osiem błędów RCE zostało naprawionych, Microsoft wymienił tylko sześć usterek jako „krytyczne”, w tym ataki typu „odmowa usługi”, zdalne wykonanie kodu i podniesienie uprawnień.
Chociaż we wtorek aktualizacji z czerwca 2023 r. nie ma luk typu zero-day, istnieje kilka znaczących wad wymienionych poniżej:
CVE-2023-29357 — Luka w zabezpieczeniach programu Microsoft SharePoint Server związana z podniesieniem uprawnień
Firma Microsoft naprawiła lukę w zabezpieczeniach programu Microsoft SharePoint umożliwiającą podniesienie uprawnień, która umożliwia atakującym przejęcie uprawnień innych użytkowników, w tym administratorów.
„Atakujący, który uzyskał dostęp do sfałszowanych tokenów uwierzytelniających JWT, może ich użyć do przeprowadzenia ataku sieciowego, który omija uwierzytelnianie i pozwala uzyskać dostęp do uprawnień uwierzytelnionego użytkownika”. czytamy w poradniku Microsoftu.
CVE-2023-32031 — Luka w zabezpieczeniach programu Microsoft Exchange Server umożliwiająca zdalne wykonanie kodu
Firma Microsoft naprawiła lukę w zabezpieczeniach programu Microsoft Exchange, która umożliwia uwierzytelnione, zdalne wykonanie kodu.
„Atakujący wykorzystujący tę lukę może atakować konta serwera w celu wykonania dowolnego lub zdalnego kodu. Jako uwierzytelniony użytkownik, atakujący może próbować uruchomić złośliwy kod w kontekście konta serwera poprzez wywołanie sieciowe” – czytamy w poradniku Microsoftu.
Firma Microsoft wydała również liczne aktualizacje pakietu Microsoft Office dotyczące luk w zabezpieczeniach, umożliwiając cyberprzestępcom wykorzystanie złośliwie spreparowanych dokumentów Excel i OneNote do zdalnego wykonania kodu.
Luki te są śledzone jako CVE-2023-33133 (Excel), CVE-2023-33133 (Excel), CVE-2023-33137 (Excel), CVE-2023-33140 (OneNote), CVE-2023-33131 (Outlook).
Luki w programach OneNote i Outlook wymagają od użytkownika kliknięcia łącza w złośliwym pliku lub wiadomości e-mail.
Poniżej znajduje się pełna lista usuniętych luk w aktualizacjach z wtorku z poprawkami z czerwca 2023 r.
| Tag | Numer CVE | Opis | Krytyczność |
| .NET and Visual Studio | CVE-2023-24895 | .NET, .NET Framework, and Visual Studio Remote Code Execution Vulnerability | Ważna |
| .NET and Visual Studio | CVE-2023-33126 | .NET and Visual Studio Remote Code Execution Vulnerability | Ważna |
| .NET and Visual Studio | CVE-2023-24936 | .NET, .NET Framework, and Visual Studio Elevation of Privilege Vulnerability | Umiarkowana |
| .NET and Visual Studio | CVE-2023-33135 | .NET and Visual Studio Elevation of Privilege Vulnerability | Ważna |
| .NET and Visual Studio | CVE-2023-32032 | .NET and Visual Studio Elevation of Privilege Vulnerability | Ważna |
| .NET and Visual Studio | CVE-2023-32030 | .NET and Visual Studio Denial of Service Vulnerability | Ważna |
| .NET and Visual Studio | CVE-2023-33128 | .NET and Visual Studio Remote Code Execution Vulnerability | Ważna |
| .NET and Visual Studio | CVE-2023-24897 | .NET, .NET Framework, and Visual Studio Remote Code Execution Vulnerability | Critical |
| .NET Core | CVE-2023-29331 | .NET, .NET Framework, and Visual Studio Denial of Service Vulnerability | Ważna |
| .NET Framework | CVE-2023-29326 | .NET Framework Remote Code Execution Vulnerability | Ważna |
| ASP .NET | CVE-2023-33141 | Yet Another Reverse Proxy (YARP) Denial of Service Vulnerability | Ważna |
| Azure DevOps | CVE-2023-21569 | Azure DevOps Server Spoofing Vulnerability | Ważna |
| Azure DevOps | CVE-2023-21565 | Azure DevOps Server Spoofing Vulnerability | Ważna |
| Microsoft Dynamics | CVE-2023-24896 | Dynamics 365 Finance Spoofing Vulnerability | Ważna |
| Microsoft Edge (Chromium-based) | CVE-2023-2941 | Chromium: CVE-2023-2941 Inappropriate implementation in Extensions API | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-33145 | Microsoft Edge (Chromium-based) Information Disclosure Vulnerability | Ważna |
| Microsoft Edge (Chromium-based) | CVE-2023-2937 | Chromium: CVE-2023-2937 Inappropriate implementation in Picture In Picture | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2936 | Chromium: CVE-2023-2936 Type Confusion in V8 | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2935 | Chromium: CVE-2023-2935 Type Confusion in V8 | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2940 | Chromium: CVE-2023-2940 Inappropriate implementation in Downloads | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2939 | Chromium: CVE-2023-2939 Insufficient data validation in Installer | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2938 | Chromium: CVE-2023-2938 Inappropriate implementation in Picture In Picture | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2931 | Chromium: CVE-2023-2931 Use after free in PDF | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2930 | Chromium: CVE-2023-2930 Use after free in Extensions | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2929 | Chromium: CVE-2023-2929 Out of bounds write in Swiftshader | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2934 | Chromium: CVE-2023-2934 Out of bounds memory access in Mojo | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2933 | Chromium: CVE-2023-2933 Use after free in PDF | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-2932 | Chromium: CVE-2023-2932 Use after free in PDF | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-3079 | Chromium: CVE-2023-3079 Type Confusion in V8 | Nieznana |
| Microsoft Edge (Chromium-based) | CVE-2023-29345 | Microsoft Edge (Chromium-based) Security Feature Bypass Vulnerability | Niska |
| Microsoft Edge (Chromium-based) | CVE-2023-33143 | Microsoft Edge (Chromium-based) Elevation of Privilege Vulnerability | Umiarkowana |
| Microsoft Exchange Server | CVE-2023-32031 | Microsoft Exchange Server Remote Code Execution Vulnerability | Ważna |
| Microsoft Exchange Server | CVE-2023-28310 | Microsoft Exchange Server Remote Code Execution Vulnerability | Ważna |
| Microsoft Office | CVE-2023-33146 | Microsoft Office Remote Code Execution Vulnerability | Ważna |
| Microsoft Office Excel | CVE-2023-33133 | Microsoft Excel Remote Code Execution Vulnerability | Ważna |
| Microsoft Office Excel | CVE-2023-32029 | Microsoft Excel Remote Code Execution Vulnerability | Ważna |
| Microsoft Office Excel | CVE-2023-33137 | Microsoft Excel Remote Code Execution Vulnerability | Ważna |
| Microsoft Office OneNote | CVE-2023-33140 | Microsoft OneNote Spoofing Vulnerability | Ważna |
| Microsoft Office Outlook | CVE-2023-33131 | Microsoft Outlook Remote Code Execution Vulnerability | Ważna |
| Microsoft Office SharePoint | CVE-2023-33142 | Microsoft SharePoint Server Elevation of Privilege Vulnerability | Ważna |
| Microsoft Office SharePoint | CVE-2023-33129 | Microsoft SharePoint Denial of Service Vulnerability | Ważna |
| Microsoft Office SharePoint | CVE-2023-33130 | Microsoft SharePoint Server Spoofing Vulnerability | Ważna |
| Microsoft Office SharePoint | CVE-2023-33132 | Microsoft SharePoint Server Spoofing Vulnerability | Ważna |
| Microsoft Office SharePoint | CVE-2023-29357 | Microsoft SharePoint Server Elevation of Privilege Vulnerability | Critical |
| Microsoft Power Apps | CVE-2023-32024 | Microsoft Power Apps Spoofing Vulnerability | Ważna |
| Microsoft Printer Drivers | CVE-2023-32017 | Microsoft PostScript Printer Driver Remote Code Execution Vulnerability | Ważna |
| Microsoft WDAC OLE DB provider for SQL | CVE-2023-29372 | Microsoft WDAC OLE DB provider for SQL Server Remote Code Execution Vulnerability | Ważna |
| Microsoft Windows Codecs Library | CVE-2023-29370 | Windows Media Remote Code Execution Vulnerability | Ważna |
| Microsoft Windows Codecs Library | CVE-2023-29365 | Windows Media Remote Code Execution Vulnerability | Ważna |
| NuGet Client | CVE-2023-29337 | NuGet Client Remote Code Execution Vulnerability | Ważna |
| Remote Desktop Client | CVE-2023-29362 | Remote Desktop Client Remote Code Execution Vulnerability | Ważna |
| Remote Desktop Client | CVE-2023-29352 | Windows Remote Desktop Security Feature Bypass Vulnerability | Ważna |
| Role: DNS Server | CVE-2023-32020 | Windows DNS Spoofing Vulnerability | Ważna |
| SysInternals | CVE-2023-29353 | Sysinternals Process Monitor for Windows Denial of Service Vulnerability | Niska |
| Visual Studio | CVE-2023-29007 | GitHub: CVE-2023-29007 Arbitrary configuration injection via `git submodule deinit` | Ważna |
| Visual Studio | CVE-2023-33139 | Visual Studio Information Disclosure Vulnerability | Ważna |
| Visual Studio | CVE-2023-25652 | GitHub: CVE-2023-25652 “git apply –reject” partially-controlled arbitrary file write | Ważna |
| Visual Studio | CVE-2023-25815 | GitHub: CVE-2023-25815 Git looks for localized messages in an unprivileged place | Ważna |
| Visual Studio | CVE-2023-27911 | AutoDesk: CVE-2023-27911 Heap buffer overflow vulnerability in Autodesk® FBX® SDK 2020 or prior | Ważna |
| Visual Studio | CVE-2023-27910 | AutoDesk: CVE-2023-27910 stack buffer overflow vulnerability in Autodesk® FBX® SDK 2020 or prior | Ważna |
| Visual Studio | CVE-2023-29011 | GitHub: CVE-2023-29011 The config file of `connect.exe` is susceptible to malicious placing | Ważna |
| Visual Studio | CVE-2023-29012 | GitHub: CVE-2023-29012 Git CMD erroneously executes `doskey.exe` in current directory, if it exists | Ważna |
| Visual Studio | CVE-2023-27909 | AutoDesk: CVE-2023-27909 Out-Of-Bounds Write Vulnerability in Autodesk® FBX® SDK 2020 or prior | Ważna |
| Visual Studio Code | CVE-2023-33144 | Visual Studio Code Spoofing Vulnerability | Ważna |
| Windows Authentication Methods | CVE-2023-29364 | Windows Authentication Elevation of Privilege Vulnerability | Ważna |
| Windows Bus Filter Driver | CVE-2023-32010 | Windows Bus Filter Driver Elevation of Privilege Vulnerability | Ważna |
| Windows Cloud Files Mini Filter Driver | CVE-2023-29361 | Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability | Ważna |
| Windows Collaborative Translation Framework | CVE-2023-32009 | Windows Collaborative Translation Framework Elevation of Privilege Vulnerability | Ważna |
| Windows Container Manager Service | CVE-2023-32012 | Windows Container Manager Service Elevation of Privilege Vulnerability | Ważna |
| Windows CryptoAPI | CVE-2023-24937 | Windows CryptoAPI Denial of Service Vulnerability | Ważna |
| Windows CryptoAPI | CVE-2023-24938 | Windows CryptoAPI Denial of Service Vulnerability | Ważna |
| Windows DHCP Server | CVE-2023-29355 | DHCP Server Service Information Disclosure Vulnerability | Ważna |
| Windows Filtering | CVE-2023-29368 | Windows Filtering Platform Elevation of Privilege Vulnerability | Ważna |
| Windows GDI | CVE-2023-29358 | Windows GDI Elevation of Privilege Vulnerability | Ważna |
| Windows Geolocation Service | CVE-2023-29366 | Windows Geolocation Service Remote Code Execution Vulnerability | Ważna |
| Windows Group Policy | CVE-2023-29351 | Windows Group Policy Elevation of Privilege Vulnerability | Ważna |
| Windows Hello | CVE-2023-32018 | Windows Hello Remote Code Execution Vulnerability | Ważna |
| Windows Hyper-V | CVE-2023-32013 | Windows Hyper-V Denial of Service Vulnerability | Critical |
| Windows Installer | CVE-2023-32016 | Windows Installer Information Disclosure Vulnerability | Ważna |
| Windows iSCSI | CVE-2023-32011 | Windows iSCSI Discovery Service Denial of Service Vulnerability | Ważna |
| Windows Kernel | CVE-2023-32019 | Windows Kernel Information Disclosure Vulnerability | Ważna |
| Windows NTFS | CVE-2023-29346 | NTFS Elevation of Privilege Vulnerability | Ważna |
| Windows ODBC Driver | CVE-2023-29373 | Microsoft ODBC Driver Remote Code Execution Vulnerability | Ważna |
| Windows OLE | CVE-2023-29367 | iSCSI Target WMI Provider Remote Code Execution Vulnerability | Ważna |
| Windows PGM | CVE-2023-29363 | Windows Pragmatic General Multicast (PGM) Remote Code Execution Vulnerability | Critical |
| Windows PGM | CVE-2023-32014 | Windows Pragmatic General Multicast (PGM) Remote Code Execution Vulnerability | Critical |
| Windows PGM | CVE-2023-32015 | Windows Pragmatic General Multicast (PGM) Remote Code Execution Vulnerability | Critical |
| Windows Remote Procedure Call Runtime | CVE-2023-29369 | Remote Procedure Call Runtime Denial of Service Vulnerability | Ważna |
| Windows Resilient File System (ReFS) | CVE-2023-32008 | Windows Resilient File System (ReFS) Remote Code Execution Vulnerability | Ważna |
| Windows Server Service | CVE-2023-32022 | Windows Server Service Security Feature Bypass Vulnerability | Ważna |
| Windows SMB | CVE-2023-32021 | Windows SMB Witness Service Security Feature Bypass Vulnerability | Ważna |
| Windows TPM Device Driver | CVE-2023-29360 | Windows TPM Device Driver Elevation of Privilege Vulnerability | Ważna |
| Windows Win32K | CVE-2023-29371 | Windows GDI Elevation of Privilege Vulnerability | Ważna |
| Windows Win32K | CVE-2023-29359 | GDI Elevation of Privilege Vulnerability | Ważna |
