+38/050/370-3627
+38/093/220-0872
+38/044/257-2444
Новини

Update Tuesday: Microsoft випустила квітневі оновлення безпеки

Оновлення у вівторок: корпорація Майкрософт випустила квітневі оновлення системи безпеки

Microsoft випустила заплановані  оновлення безпеки, що охоплюють 114 вразливостей, включаючи 6 вразливостей в Microsoft Edge і 4 вразливості в Exchange Server. 19 вразливостей були класифіковані як "Критичні" і 88 як "Важливі". Серед закритих вразливостей дві були оприлюднені. публічно, а експлуатація однієї з цих вразливостей була зафіксована в реальних атаках (0-денний).  

Особливу увагу варто звернути на наступні вразливості і оновлення безпеки:  

Була розглянута критична вразливість віддаленого виконання коду CVE-2021-28329 в компонентах середовища виконання RPC, яка впливає на всі підтримувані версії Windows і Windows Server. CVSS має рейтинг 8,8, а згідно з Індексом експлуатації, атаки з використанням цієї вразливості мають низьку ймовірність.  

 квітневі оновлення також виправляють важливе підвищення вразливості привілеїв cve-2021-28313 в компонентах центру діагностики Windows . Ця вразливість впливає на останні версії Windows 10 і Windows Server  20H2, 2004, 1909.  CVSS був оцінений в 7,8, і згідно з Індексом експлуатації, атаки з використанням цієї вразливості мають низьку ймовірність.  

Також було розглянуто важливе підвищення  вразливості привілеїв CVE-2021-28347 в компонентах Windows Speech Runtime . Постраждали всі підтримувані версії Windows 10. CVSS має рейтинг 7.8, а згідно з Індексом експлуатації, атаки з використанням цієї вразливості мають низьку ймовірність.   

 Усуває важливу вразливість віддаленого виконання коду , CVE-2021-27091 , у компонентах  RPC Endpoint Mapper, які були оприлюднені. Ця вразливість впливає лише на Windows Server 2012. CVSS оцінюється як 7.8, і атаки з використанням цієї вразливості мають низьку ймовірність на основі Індексу експлуатації.    

Оновлення також закривають критичну вразливість віддаленого виконання коду CVE-2021-27095 у відеодекодері Windows Media, яка впливає на всі версії Windows. Рейтинг CVSS склав 7,8, і згідно з Індексом експлуатації, атаки з використанням цієї вразливості мають низьку ймовірність. 

 важлива вразливість віддаленого виконання коду cve-2021-28445 у компонентах мережевої файлової системи Windows (nfs) була вирішена .               1803. Рейтинг CVSS склав 8,1, і згідно з Індексом експлуатації, атаки з використанням цієї вразливості мають низьку ймовірність.  

Усунуто  важливу вразливість віддаленого виконання коду CVE-2021-28451 в Microsoft Excel.  На цю вразливість впливають Microsoft Office 2019 для Windows / Mac, Microsoft Excel 2013-2016, Microsoft 365 Apps for Enterprise, Microsoft Office Online Server, Microsoft Office Web Apps Server 2013 .      Рейтинг CVSS склав 7,8, і згідно з Індексом експлуатації, атаки з використанням цієї вразливості мають низьку ймовірність.  

Закриває керівна команда квітневого випуску вразливості нульового дня, вже використовуваної в атаках - це важливий привілей ескалації вразливості CVE-2021-28310 в win 32 k компонентів .        20H2, 2004, 1909, 1809, 1803. CVSS отримав оцінку 7.8.  

На окрему увагу заслуговує ряд вразливостей в поштовому сервері Microsoft Exchange. На цей раз страждають всі підтримувані версії Exchange Server 2013, 2016, 2019 років.   

Примітка: Крім запланованих оновлень, березень був позаплановим випуском оновлень безпеки для локальних версій Microsoft Exchange Server 2010, 2013, 2016, 2019. Детальніше про цей випуск читайте в нашому блозі.  

Всі 4 вразливості в квітневому випуску CVE-2021-28480CVE-2021-28481, CVE-2021-28482CVE-2021-28483 були класифіковані як «Критичні», і потенційно дозволяють зловмиснику віддалено виконувати довільний код на поштовому сервері.    

Інформація про ці вразливості не була оприлюднена і на даний момент використання робочих експлойтів в реальних атаках не зафіксовано.  Найвищий рейтинг CVSS серед вразливостей склав 9,8 з 10 (найнижчий рейтинг - 8,8) і за індексом експлуатації атаки з використанням цих вразливостей мають високий рівень ймовірності.  

Варто відзначити, що для установки оновлень безпеки потрібно мати підтримуваний сукупний рівень пакета на своїх поштових серверах: 

  • Сервер обміну 2013 CU23
  • Сервер обміну 2016 CU19/CU20
  • Сервер обміну 2019 CU8/CU9

Дізнатися всі подробиці  можна в блозі команди Microsoft Exchange: https://techcommunity.microsoft.com/t5/exchange-team-blog/released-april-2021-exchange-server-security-updates/ba-p/2254617  

Інші вразливості були виправлені   в компонентах Microsoft Edge (на движку Chromium), Microsoft Office (додатки і веб-служби), SharePoint ServerVisual StudioVS CodeAzure DevOps ServerAzure SphereGitHub  Витягніть запити та проблеми розширення та розширення Maven Java .  

Інші новини