Microsoft heeft updates uitgebracht om minstens 90 beveiligingslekken in Windows en gerelateerde software te verhelpen, waaronder zes zero-day-fouten die al door aanvallers worden misbruikt.
De update van deze maand bevat patches voor beveiligingsproblemen in onder andere Office, .NET, Visual Studio, Azure, Co-Pilot, Microsoft Dynamics, Teams, Secure Boot en uiteraard Windows zelf. Van de zes zero-day-kwetsbaarheden die Microsoft heeft aangepakt, zijn drie gericht op lokale privilege-escalatie, wat betekent dat ze vooral nuttig zijn voor aanvallers in combinatie met andere fouten of toegangsmethodes.
CVE-2024-38106, CVE-2024-38107 en CVE-2024-38193 stellen een aanvaller in staat om beheerdersrechten op een kwetsbaar systeem te verkrijgen, hoewel de kwetsbaarheden zich in verschillende delen van het Windows-besturingssysteem bevinden.
Microsoft geeft weinig details over de twee meest recente privilege-escalatiefouten, behalve dat ze actief worden misbruikt. CVE-2024-38106, een kwetsbaarheid in de Windows-kernel, wordt actief geëxploiteerd ondanks de hoge “aanvalcomplexiteit”. Het ZeroDay Initiative (ZDI) van Trend Micro merkt op dat hoewel racecondities de exploitatie moeilijker maken, aanvallen in de praktijk aantonen dat deze bug toch eenvoudig te misbruiken is.
Een andere zero-day is CVE-2024-38178, een externe code-uitvoeringsfout die optreedt wanneer de ingebouwde Windows Edge-browser in de “Internet Explorer-modus” werkt. Hoewel deze modus standaard is uitgeschakeld, kan het door aanvallers worden benut wanneer organisaties of gebruikers deze configuratie hebben ingeschakeld.
CVE-2024-38213 is een zero-day-fout die het mogelijk maakt om de “Mark of the Web” beveiligingsfunctie te omzeilen. Deze functie markeert gedownloade bestanden van het internet als onbetrouwbaar. Deze kwetsbaarheid wordt vaak gezien als onderdeel van een grotere exploitketen.
De laatste zero-day, CVE-2024-38189, is een externe code-uitvoeringsfout in Microsoft Project. Deze kwetsbaarheid treft vooral gebruikers die beveiligingswaarschuwingen voor VBA-macro’s in Microsoft Project hebben uitgeschakeld.
Ga voor een volledig overzicht naar https://msrc.microsoft.com/update-guide/releaseNote/2024-Aug
