В марте Microsoft закрыла 60 уязвимостей, две — критические

Прошёл мартовский вторник патчей, Microsoft подготовила очередной набор обновлений, в котором устраняются 60 уязвимостей. 18 брешей позволяют выполнить код удалённо (RCE), всего две получили статус критических.

Одна из критических — RCE, затрагивающая Hyper-V, другая — может привести к сбою в работе (DoS).

По классам свежий набор устранённых дыр распределился следующим образом:

• 24 проблемы повышения привилегий;
• 3 обхода защитных функций;
• 18 уязвимостей удалённого выполнения кода;
• 6 — раскрытие информации;
• 2 — спуфинг.

К счастью, в этом наборе нет 0-day (по крайней мере, Microsoft не сообщает ни об одной уязвимости нулевого дня). Тем не менее не стоит затягивать с установкой патчей, поскольку есть заслуживающие внимания проблемы:

1. CVE-2024-21400 (затрагивает Microsoft Azure Kubernetes Service Confidential Container) — использующий эту уязвимость атакующий может вытащить учётные данные и повысить права.
2. CVE-2024-26199 — тоже повышение прав, но затрагивающее Microsoft Office. Позволяет получить привилегии SYSTEM.
3. CVE-2024-20671 — возможность обхода защитных функций Microsoft Defender.
4. CVE-2024-21411 — удалённое выполнение кода, затрагивающее Skype.

Полный список пропатченных дыр выглядит так: