Styczniowy Wtorek Microsoftu 2024. (P24-012)

Wtorkowa aktualizacja Microsoftu ze stycznia 2024 r., która zawiera aktualizacje zabezpieczeń obejmujące łącznie 49 luk i 12 luk umożliwiających zdalne wykonanie kodu.

Tylko dwie luki zostały sklasyfikowane jako krytyczne: jedna to obejście funkcji zabezpieczeń Windows Kerberos, a druga to Hyper-V RCE.

Firma Microsoft naprawia lukę w zabezpieczeniach pakietu Office umożliwiającą zdalne wykonanie kodu, oznaczoną jako CVE-2024-20677, która umożliwia cyberprzestępcom tworzenie złośliwie spreparowanych dokumentów pakietu Office z osadzonymi plikami modeli 3D FBX w celu zdalnego wykonania kodu.

„W FBX istnieje luka w zabezpieczeniach, która może prowadzić do zdalnego wykonania kodu. Aby złagodzić tę lukę, możliwość wstawiania plików FBX została wyłączona w programach Word, Excel, PowerPoint i Outlook dla systemów Windows i Mac” – wyjaśnia biuletyn zabezpieczeń firmy Microsoft.

„Wersje pakietu Office, w których włączono tę funkcję, nie będą już miały do niej dostępu. Obejmuje to pakiety Office 2019, Office 2021, Office LTSC dla komputerów Mac 2021 i Microsoft 365”.

„Modele 3D w dokumentach pakietu Office, które zostały wcześniej wstawione z pliku FBX, będą przez cały czas działać zgodnie z oczekiwaniami, chyba iż podczas wstawiania wybrano opcję Połącz z plikiem”.

Dzisiaj naprawiono także krytyczny błąd protokołu Kerberos systemu Windows, oznaczony jako CVE-2024-20674, umożliwiający osobie atakującej ominięcie funkcji uwierzytelniania.

„Nieuwierzytelniony atakujący może wykorzystać tę lukę, przeprowadzając atak typu machine-in-the-middle (MITM) lub inną technikę fałszowania sieci lokalnej, a następnie wysyłając złośliwą wiadomość Kerberos do komputera ofiary, aby podszyć się pod serwer uwierzytelniania Kerberos.”