آخرین Patch Tuesday سال ۲۰۲۳

مایکروسافت، دوازدهم دسامبر ۲۰۲۳، آخرین مجموعه به‌روزرسانی‌های Patch Tuesday خود را برای این سال منتشر و ۳۳ نقص را برطرف ساخت. این نقص‌ها شامل ۴ آسیب پذیری بحرانی و ۲۹ آسیب پذیری با شدت بالا هستند. این اصلاحات، علاوه بر ۱۸ نقصی می‌باشند که مایکروسافت از زمان انتشار به‌روزرسانی‌های Patch Tuesday  نوامبر ۲۰۲۳ در مرورگر Edge مبتنی بر Chromium خود برطرف کرده است.

این غول نرم ‌افزاری در سال جاری بیش از ۹۰۰ آسیب پذیری را اصلاح کرده است. مهم ترین آسیب پذیری‌های این دوره به شرح زیر می‌باشند:

• CVE-2023-35628 (امتیاز(CVSS: 8.1  – آسیب پذیری اجرای کد از راه دور پلتفرم MSHTML ویندوز
• CVE-2023-35630 ( امتیاز(CVSS: 8.8 – آسیب پذیری اجرای کد از راه دور اشتراک گذاری اتصال به اینترنت  (ICS[1])
• CVE-2023-35636 (امتیاز (CVSS: 6.5  -آسیب پذیری افشای اطلاعات  Microsoft Outlook
• CVE-2023-35639 (امتیاز(CVSS: 8.8  -آسیب پذیری اجرای کد از راه دور درایور  [2]Microsoft ODBC
• CVE-2023-35641 ( امتیاز(CVSS: 8.8 – آسیب پذیری اجرای کد از راه دور اشتراک گذاری اتصال به اینترنت (ICS)
• CVE-2023-35642 ( امتیاز (CVSS: 6.5- آسیب پذیری انکار سرویس اشتراک گذاری اتصال به اینترنت (ICS)
• CVE-2023-36019 (امتیاز CVSS: 9.6) – آسیب پذیری جعل کانکتور[3] پلتفرم Microsoft Power

CVE-2023-36019 حائز اهمیت می‌باشد چرا که به مهاجم اجازه می‌دهد تا یک URL ساخته شده خاص را به هدف ارسال کند و در نتیجه اسکریپت‌های مخرب در مرورگر دستگاه قربانی اجرا شود. مهاجم می‌تواند یک لینک، برنامه یا فایل مخرب را تغییر داده تا آن را به عنوان یک لینک یا فایل قانونی پنهان سازد و قربانی را فریب دهد.

مایکروسافت همچنین دارای به‌روزرسانی Patch Tuesday  برای سه نقص در سرویس سرور پروتکل پیکربندی میزبان پویا (DHCP[4]) است که می‌تواند منجر به حمله انکار سرویس (DoS[5]) یا افشای اطلاعات[6] شود. این سه آسیب پذیری ها به شرح زیر می‌باشند:

• CVE-2023-35638 ( امتیاز (CVSS: 7.5- آسیب پذیری انکار سرویس سرور DHCP
• CVE-2023-35643 (امتیاز (CVSS: 7.5- آسیب پذیری افشای اطلاعات سرویس سرور DHCP
• CVE-2023-36012 (امتیاز CVSS: 5.3) – آسیب پذیری افشای اطلاعات سرویس سرور DHCP

این افشاگری همچنین زمانی صورت می‌پذیرد که Akamai مجموعه جدیدی از حملات علیه دامنه‌های اکتیو دایرکتوری[7] که از سرورهای پروتکل پیکربندی میزبان پویا مایکروسافت (DHCP) استفاده می‌کنند را کشف کرده است.

اوری دیوید[8] طی گزارشی در هفتم دسامبر ۲۰۲۳ اعلام کرد که این حملات می‌توانند به مهاجمان اجازه دهند تا رکوردهای DNS حساس را جعل کنند که منجر به عواقب متفاوتی از سرقت گواهی اعتبار گرفته تا به خطر افتادن کامل دامنه اکتیو دایرکتوری می‌شود. این حملات به هیچگونه گواهی اعتبار نیازی ندارند و با پیکربندی پیش فرض سرور DHCP مایکروسافت کار می‌کنند.

این شرکت امنیتی و زیرساخت وب خاطرنشان کرد که تأثیر این آسیب پذیری ها می‌تواند قابل توجه باشد چرا که قادر است تا از آنها برای جعل رکوردهای DNS در سرورهای DNS مایکروسافت، از جمله بازنویسی رکورد[9] دلخواه DNS تأیید نشده، استفاده کند؛ در نتیجه یک عامل تهدید را قادر می‌سازد تا موقعیت ماشینی در وسط میزبان دامنه[10] را به دست آورد و به داده‌های حساس دسترسی یابد.

مایکروسافت در پاسخ به این یافته‌ها خاطرنشان کرد که این مسائل یا به دلیل طراحی ایجاد شده‌اند و یا به اندازه کافی جدی و حائز اهمیت نیستند که بتوان آنها را مرتفع ساخت و لازم است که کاربران در صورت عدم نیاز، به ‌روزرسانی‌های پویای DHCP DNS را غیرفعال و از DNSUpdateProxy خودداری کنند.

Patch Tuesday ماه دسامبر مایکروسافت

لیست کامل به‌روزرسانی‌های Patch Tuesday ماه دسامبر مایکروسافت به شرح زیر می‌باشد: