Майский Patch Tuesday закрывает 61 брешь в безопасности продуктов Microsoft

Компания Microsoft представила майское обновление Patch Tuesday, включающее в себя исправления для 61 уязвимости, включая 3 уязвимости нулевого дня, которые активно эксплуатировались или были публично раскрыты до исправления.

Из всех исправленных уязвимостей только одна была признана критической — это уязвимость удалённого выполнения кода на сервере Microsoft SharePoint. Общее количество уязвимостей по категориям распределилось следующим образом:

• 17 уязвимостей повышения привилегий;
• 2 уязвимости обхода функций безопасности;
• 27 уязвимостей удалённого выполнения кода;
• 7 уязвимостей раскрытия информации;
• 3 уязвимости отказа в обслуживании;
• 4 уязвимости подмены данных.

Этот обширный список не включает в себя две уязвимости Microsoft Edge, исправленные 2 мая, и ещё четыре, исправленные 10 мая.

Исправление уязвимостей нулевого дня

Zero-day — это уязвимость, которая была публично раскрыта или активно эксплуатировалась в реальных атаках до выхода официального исправления. В этот раз Microsoft устранила три такие уязвимости:

1. CVE-2024-30040 (оценка CVSS 8.8) — уязвимость обхода функции безопасности платформы MSHTML Windows, позволяющая атакующим выполнять произвольный код через уязвимые элементы управления COM/OLE.
2. CVE-2024-30051 (оценка CVSS 7.8) — уязвимость повышения привилегий в библиотеке ядра DWM Windows, позволяющая атакующим получить привилегии SYSTEM.
3. CVE-2024-30046 (оценка CVSS 5.9) — уязвимость отказа в обслуживании в Visual Studio, вызванная параллельным выполнением с использованием общего ресурса с неправильной синхронизацией (Race Condition).

Помимо исправления уязвимостей нулевого дня компания наконец решила проблему, из-за которой VPN-соединения в Windows переставали работать после установки апрельских обновлений безопасности. Эти исправления также включены в свежий Patch Tuesday и могут быть применены одновременно.

Компания Microsoft продемонстрировала ответственный подход, выпустив майские обновления для устранения критических уязвимостей Windows и смежных продуктов. Своевременный выпуск исправлений, как и их оперативная установка со стороны пользователей, позволяет защитить уязвимые устройства и минимизировать любые риски кибератак.