Η Microsoft δημοσίευσε χθες τις μηνιαίες ενημερώσεις ασφαλείας Patch Tuesday. Το Patch Tuesday Δεκεμβρίου 2020 διορθώνει 58 ευπάθειες σε περισσότερα από 10 προϊόντα και υπηρεσίες της εταιρείας.
Ο αριθμός των ευπαθειών που διορθώνονται είναι σχετικά μικρός συγκριτικά με τις συνηθισμένες ενημερώσεις ασφαλείας της εταιρείας, αλλά κάποια από τα σφάλματα εξακολουθούν να είναι πολύ σοβαρά.
Στο Patch Tuesday Δεκεμβρίου, η Microsoft διορθώνει 22 ευπάθειες που επιτρέπουν την απομακρυσμένη εκτέλεση κώδικα (RCE), οι οποίες πρέπει να αντιμετωπιστούν άμεσα γιατί μπορούν να χρησιμοποιηθούν εύκολα από εγκληματίες, είτε μέσω του Διαδικτύου είτε από ένα τοπικό δίκτυο, χωρίς να απαιτείται να κάνουν κάτι οι χρήστες.
Οι RCE ευπάθειες έχουν εντοπιστεί σε προϊόντα της Microsoft, όπως τα Windows NTFS, Exchange Server, Microsoft Dynamics, Excel, PowerPoint, SharePoint, Visual Studio και Hyper-V.
Ωστόσο, οι RCE ευπάθειες που έχουν αξιολογηθεί ως πιο σοβαρές και μπορούν να χρησιμοποιηθούν πιο εύκολα είναι αυτές που επηρεάζουν το Exchange Server (CVE-2020-17143, CVE-2020-17144, CVE-2020-17141, CVE-2020-17117, CVE-2020-17132, και CVE-2020-17142) και το SharePoint (CVE-2020-17118 και CVE-2020-17121).
Η Microsoft συνιστά την άμεση διόρθωση των συγκεκριμένων σφαλμάτων, καθώς, λόγω της φύσης τους, τα συστήματα Exchange και SharePoint είναι συνήθως συνδεδεμένα στο Διαδίκτυο και, ως εκ τούτου, είναι πιο εύκολο να στοχευτούν από εγκληματίες.
Ένα άλλο μεγάλο σφάλμα που διορθώθηκε στο Patch Tuesday Δεκεμβρίου αυτόν τον μήνα είναι ένα σφάλμα στο Hyper-V, που χρησιμοποιείται για τη φιλοξενία εικονικών μηχανών. Χρησιμοποιώντας ένα κακόβουλο SMB packet, αυτό το σφάλμα θα μπορούσε να επιτρέψει σε απομακρυσμένους εισβολείς να θέσουν σε κίνδυνο τα εικονικά sandboxed περιβάλλοντα, τα οποία υποτίθεται ότι προστατεύονται από το Hyper-V.
Στον παρακάτω πίνακα μπορείτε να δείτε όλες τις ευπάθειες που διορθώνονται στο Microsoft Patch Tuesday Δεκεμβρίου 2020:
| Tag | CVE ID | CVE Title |
|---|---|---|
| Microsoft Windows DNS | ADV200013 | Microsoft Guidance for Addressing Spoofing Vulnerability in DNS Resolver |
| Azure DevOps | CVE-2020-17145 | Azure DevOps Server and Team Foundation Services Spoofing Vulnerability |
| Azure DevOps | CVE-2020-17135 | Azure DevOps Server Spoofing Vulnerability |
| Azure SDK | CVE-2020-17002 | Azure SDK for C Security Feature Bypass Vulnerability |
| Azure SDK | CVE-2020-16971 | Azure SDK for Java Security Feature Bypass Vulnerability |
| Azure Sphere | CVE-2020-17160 | Azure Sphere Security Feature Bypass Vulnerability |
| Microsoft Dynamics | CVE-2020-17147 | Dynamics CRM Webclient Cross-site Scripting Vulnerability |
| Microsoft Dynamics | CVE-2020-17133 | Microsoft Dynamics Business Central/NAV Information Disclosure |
| Microsoft Dynamics | CVE-2020-17158 | Microsoft Dynamics 365 for Finance and Operations (on-premises) Remote Code Execution Vulnerability |
| Microsoft Dynamics | CVE-2020-17152 | Microsoft Dynamics 365 for Finance and Operations (on-premises) Remote Code Execution Vulnerability |
| Microsoft Edge | CVE-2020-17153 | Microsoft Edge for Android Spoofing Vulnerability |
| Microsoft Edge | CVE-2020-17131 | Chakra Scripting Engine Memory Corruption Vulnerability |
| Microsoft Exchange Server | CVE-2020-17143 | Microsoft Exchange Information Disclosure Vulnerability |
| Microsoft Exchange Server | CVE-2020-17144 | Microsoft Exchange Remote Code Execution Vulnerability |
| Microsoft Exchange Server | CVE-2020-17141 | Microsoft Exchange Remote Code Execution Vulnerability |
| Microsoft Exchange Server | CVE-2020-17117 | Microsoft Exchange Remote Code Execution Vulnerability |
| Microsoft Exchange Server | CVE-2020-17132 | Microsoft Exchange Remote Code Execution Vulnerability |
| Microsoft Exchange Server | CVE-2020-17142 | Microsoft Exchange Remote Code Execution Vulnerability |
| Microsoft Graphics Component | CVE-2020-17137 | DirectX Graphics Kernel Elevation of Privilege Vulnerability |
| Microsoft Graphics Component | CVE-2020-17098 | Windows GDI+ Information Disclosure Vulnerability |
| Microsoft Office | CVE-2020-17130 | Microsoft Excel Security Feature Bypass Vulnerability |
| Microsoft Office | CVE-2020-17128 | Microsoft Excel Remote Code Execution Vulnerability |
| Microsoft Office | CVE-2020-17129 | Microsoft Excel Remote Code Execution Vulnerability |
| Microsoft Office | CVE-2020-17124 | Microsoft PowerPoint Remote Code Execution Vulnerability |
| Microsoft Office | CVE-2020-17123 | Microsoft Excel Remote Code Execution Vulnerability |
| Microsoft Office | CVE-2020-17119 | Microsoft Outlook Information Disclosure Vulnerability |
| Microsoft Office | CVE-2020-17125 | Microsoft Excel Remote Code Execution Vulnerability |
| Microsoft Office | CVE-2020-17127 | Microsoft Excel Remote Code Execution Vulnerability |
| Microsoft Office | CVE-2020-17126 | Microsoft Excel Information Disclosure Vulnerability |
| Microsoft Office | CVE-2020-17122 | Microsoft Excel Remote Code Execution Vulnerability |
| Microsoft Office SharePoint | CVE-2020-17115 | Microsoft SharePoint Spoofing Vulnerability |
| Microsoft Office SharePoint | CVE-2020-17120 | Microsoft SharePoint Information Disclosure Vulnerability |
| Microsoft Office SharePoint | CVE-2020-17121 | Microsoft SharePoint Remote Code Execution Vulnerability |
| Microsoft Office SharePoint | CVE-2020-17118 | Microsoft SharePoint Remote Code Execution Vulnerability |
| Microsoft Office SharePoint | CVE-2020-17089 | Microsoft SharePoint Elevation of Privilege Vulnerability |
| Microsoft Windows | CVE-2020-17136 | Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability |
| Microsoft Windows | CVE-2020-16996 | Kerberos Security Feature Bypass Vulnerability |
| Microsoft Windows | CVE-2020-17138 | Windows Error Reporting Information Disclosure Vulnerability |
| Microsoft Windows | CVE-2020-17092 | Windows Network Connections Service Elevation of Privilege Vulnerability |
| Microsoft Windows | CVE-2020-17139 | Windows Overlay Filter Security Feature Bypass Vulnerability |
| Microsoft Windows | CVE-2020-17103 | Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability |
| Microsoft Windows | CVE-2020-17134 | Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability |
| Visual Studio | CVE-2020-17148 | Visual Studio Code Remote Development Extension Remote Code Execution Vulnerability |
| Visual Studio | CVE-2020-17159 | Visual Studio Code Java Extension Pack Remote Code Execution Vulnerability |
| Visual Studio | CVE-2020-17156 | Visual Studio Remote Code Execution Vulnerability |
| Visual Studio | CVE-2020-17150 | Visual Studio Code Remote Code Execution Vulnerability |
| Windows Backup Engine | CVE-2020-16960 | Windows Backup Engine Elevation of Privilege Vulnerability |
| Windows Backup Engine | CVE-2020-16958 | Windows Backup Engine Elevation of Privilege Vulnerability |
| Windows Backup Engine | CVE-2020-16959 | Windows Backup Engine Elevation of Privilege Vulnerability |
| Windows Backup Engine | CVE-2020-16961 | Windows Backup Engine Elevation of Privilege Vulnerability |
| Windows Backup Engine | CVE-2020-16964 | Windows Backup Engine Elevation of Privilege Vulnerability |
| Windows Backup Engine | CVE-2020-16963 | Windows Backup Engine Elevation of Privilege Vulnerability |
| Windows Backup Engine | CVE-2020-16962 | Windows Backup Engine Elevation of Privilege Vulnerability |
| Windows Error Reporting | CVE-2020-17094 | Windows Error Reporting Information Disclosure Vulnerability |
| Windows Hyper-V | CVE-2020-17095 | Hyper-V Remote Code Execution Vulnerability |
| Windows Lock Screen | CVE-2020-17099 | Windows Lock Screen Security Feature Bypass Vulnerability |
| Windows Media | CVE-2020-17097 | Windows Digital Media Receiver Elevation of Privilege Vulnerability |
| Windows SMB | CVE-2020-17096 | Windows NTFS Remote Code Execution Vulnerability |
| Windows SMB | CVE-2020-17140 | Windows SMB Information Disclosure Vulnerability |
Πηγή: ZDNet