تحديث شهر يوليو من Microsoft يصحح 143 عيبًا، بما في ذلك عيبان تم استغلالهما بشكل نشط
أصدرت Microsoft تصحيحات لمعالجة إجمالي 143 خلل أمني كجزء من تحديثاتها الأمنية الشهرية، اثنان منها تعرضا للاستغلال النشط في البرية.
تم تصنيف خمسة عيوب من أصل 143 على أنها خطيرة، و136 على أنها مهمة، وأربعة على أنها متوسطة الخطورة. الإصلاحات بالإضافة إلى 33 نقطة ضعف التي تمت معالجتها في متصفح Edge المستند إلى Chromium خلال الشهر الماضي.
فيما يلي العيبان الأمنيان اللذان تعرضا للاستغلال –
- CVE-2024-38080 (درجة CVSS: 7.8) – رفع مستوى ثغرات الامتيازات في Windows Hyper-V
- CVE-2024-38112 (درجة CVSS: 7.5) – ثغرة أمنية في انتحال نظام Windows MSHTML
وقالت مايكروسوفت عن CVE-2024-38112: “إن الاستغلال الناجح لهذه الثغرة الأمنية يتطلب من المهاجم اتخاذ إجراءات إضافية قبل الاستغلال لإعداد البيئة المستهدفة”. “سيتعين على المهاجم أن يرسل للضحية ملفًا ضارًا يتعين على الضحية تنفيذه.”
قال الباحث الأمني في Check Point Haifei Li، الذي كان له الفضل في اكتشاف الخلل والإبلاغ عنه في مايو 2024، إن الجهات الفاعلة في مجال التهديد تستفيد من ملفات Windows Internet Shortcut (.URL) المصممة خصيصًا والتي، عند النقر عليها، تعيد توجيه الضحايا إلى عنوان URL ضار عن طريق استدعاء متصفح Internet Explorer (IE) المتقاعد.
“يتم استخدام خدعة إضافية على IE لإخفاء اسم ملحق .HTA الضار،” Li شرح. “من خلال فتح عنوان URL باستخدام IE بدلاً من متصفح Chrome/Edge الحديث والأكثر أمانًا على نظام التشغيل Windows، حصل المهاجم على مزايا كبيرة في استغلال جهاز الكمبيوتر الخاص بالضحية، على الرغم من أن الكمبيوتر يعمل بنظام التشغيل Windows 10/11 الحديث.”
الآثار توظيف كانت تقنية الهجوم تم الرفع إلى منصة فحص البرامج الضارة VirusTotal في وقت مبكر من يناير 2023، مما يشير إلى أن الجهات الفاعلة في مجال التهديد كانت على علم بهذه الثغرة منذ أكثر من 1.5 عام.
أخبرت شركة Check Point The Hacker News أنها لاحظت استخدام عينات URL لتسليم سارق معلومات يُدعى Atlantida، والذي كان موثقة بواسطة Rapid7 في وقت سابق من هذا العام كبرنامج ضار يتيح سرقة بيانات اعتماد تسجيل الدخول وبيانات محافظ العملات المشفرة والمعلومات المخزنة في متصفحات الويب ولقطات الشاشة وبيانات الأجهزة.
يُقال إن حملة البرامج الضارة السرقة، التي استهدفت بشكل أساسي المستخدمين في تركيا وفيتنام في منتصف مايو 2024، قد أساءت استخدام مواقع WordPress المخترقة لشن هجمات من خلال تطبيق HTML (.HTA) وملفات PowerShell لتسليم Atlántida إلى مضيفي الضحايا.
تشير النتائج الأولية من Check Point إلى أن مجموعتي تهديد متباينتين على الأقل تستغلان CVE-2024-38112 في حملات متزامنة كجزء مما يشتبه في أنها عملية ذات دوافع مالية.
“لقد رأينا شركة لتصنيع الشرائح وشركة تعمل على تطوير المنتجات لتحسين التصميم [being targeted]وقالت الشركة: “كلاهما من شركات التكنولوجيا الفائقة، مما قد يشير إلى هجوم على سلسلة التوريد أو الاهتمام بالمنتج.”
وقال ساتنام نارانغ، كبير مهندسي الأبحاث في شركة Tenable: “يعد CVE-2024-38080 بمثابة زيادة في خلل الامتياز في Windows Hyper-V”. “يمكن لمهاجم محلي معتمد استغلال هذه الثغرة الأمنية لرفع الامتيازات إلى مستوى النظام بعد اختراق أولي للنظام المستهدف.”
في حين أن التفاصيل الدقيقة المحيطة بإساءة استخدام CVE-2024-38080 غير معروفة حاليًا، فقد أشار نارانج إلى أن هذا هو الأول من بين 44 عيبًا في Hyper-V يتم استغلالها في البرية منذ عام 2022.
تم إدراج ثغرتين أمنيتين أخريين قامت Microsoft بتصحيحهما على أنهما معروفان للعامة في وقت الإصدار. يتضمن ذلك هجوم قناة جانبية يسمى FetchBench (CVE-2024-37985، درجة CVSS: 5.9) التي يمكن أن تمكن الخصم من عرض ذاكرة الكومة من عملية مميزة تعمل على الأنظمة المستندة إلى Arm.
الثغرة الأمنية الثانية التي تم الكشف عنها علنًا هي CVE-2024-35264 (درجة CVSS: 8.1)، خطأ في تنفيذ التعليمات البرمجية عن بعد يؤثر على .NET وVisual Studio.
وقال ريدموند في نصيحة: “يمكن للمهاجم استغلال هذا عن طريق إغلاق تدفق http/3 أثناء معالجة نص الطلب مما يؤدي إلى حالة سباق”. “قد يؤدي هذا إلى تنفيذ التعليمات البرمجية عن بعد.”
تم أيضًا حل 37 عيبًا في تنفيذ التعليمات البرمجية عن بُعد والتي تؤثر على SQL Server Native Client OLE DB Provider، كجزء من تحديثات Patch Tuesday، و20 ثغرات أمنية لتجاوز ميزة أمان التمهيد الآمن، وثلاثة أخطاء في تصعيد امتيازات PowerShell، وثغرة أمنية انتحالية في بروتوكول RADIUS (CVE-2024). -3596 ويعرف أيضًا باسم BlastRADIUS).
“[The SQL Server flaws] “تؤثر بشكل خاص على موفر OLE DB، لذلك لا تحتاج مثيلات SQL Server إلى التحديث فحسب، بل ستحتاج أيضًا إلى معالجة كود العميل الذي يقوم بتشغيل الإصدارات الضعيفة من برنامج تشغيل الاتصال،” قال جريج وايزمان، مدير المنتج الرئيسي في Rapid7.
“على سبيل المثال، يمكن للمهاجم استخدام أساليب الهندسة الاجتماعية لخداع مستخدم مصادق عليه لمحاولة الاتصال بقاعدة بيانات SQL Server التي تم تكوينها لإرجاع بيانات ضارة، مما يسمح بتنفيذ تعليمات برمجية عشوائية على العميل.”
تقريب القائمة الطويلة من التصحيحات هو CVE-2024-38021 (درجة CVSS: 8.8)، وهو خلل في تنفيذ التعليمات البرمجية عن بعد في Microsoft Office، والذي، إذا تم استغلاله بنجاح، قد يسمح للمهاجم بالحصول على امتيازات عالية، بما في ذلك وظائف القراءة والكتابة والحذف.
وقالت Morphisec، التي أبلغت Microsoft بالخلل في أواخر أبريل 2024، إن الثغرة الأمنية لا تتطلب أي مصادقة وتشكل خطرًا شديدًا بسبب طبيعة النقر الصفري.
وقال مايكل جوريليك: “يمكن للمهاجمين استغلال هذه الثغرة الأمنية للحصول على وصول غير مصرح به، وتنفيذ تعليمات برمجية عشوائية، والتسبب في أضرار جسيمة دون أي تدخل من المستخدم”. قال. “إن غياب متطلبات المصادقة يجعل الأمر خطيرًا بشكل خاص، لأنه يفتح الباب أمام الاستغلال على نطاق واسع.”
الإصلاحات تأتي كما Microsoft أعلن في أواخر الشهر الماضي، ستبدأ في إصدار معرفات CVE للثغرات الأمنية المتعلقة بالسحابة في محاولة لتحسين الشفافية.
تصحيحات البرامج من البائعين الآخرين
بالإضافة إلى Microsoft، تم أيضًا إصدار تحديثات أمنية من قبل موردين آخرين في الأسابيع القليلة الماضية لتصحيح العديد من نقاط الضعف، بما في ذلك –
(تم تحديث القصة بعد النشر لتشمل تعليقات إضافية من Check Point.)
إرسال التعليق