Хакер #305. Многошаговые SQL-инъекции
В рамках июльского «вторника обновлений» Microsoft выпустила патчи для 117 уязвимостей, из которых 13 были классифицированы как критические. То есть июльский набор патчей в два раза превосходит майский и июньский «вторники обновлений» вместе взятые. На этот раз баги были исправлены в таких продуктах, как Microsoft Office, SharePoint, Excel, Microsoft Exchange Server, Windows Defender, ядро Windows, Windows SMB и так далее.
44 уязвимости были связаны с удаленным выполнением кода, 32 с повышением привилегий, 14 с раскрытием информации, 12 провоцировали отказ в обслуживании, 8 позволяли обойти различные защитные функции и еще 7 были связаны со спуфингом.
Кроме того, в этом месяце компания устранила сразу девять уязвимостей нулевого дня, четыре из которых уже использовались для атак. Следующие 0-day проблемы были исправлены, но хакеры ими еще не пользовались:
- CVE-2021-34492: уязвимость в Windows, связанная с подделкой сертификатов;
- CVE-2021-34523: уязвимость в Microsoft Exchange Server, связанная с повышением привилегий;
- CVE-2021-34473: уязвимость в Microsoft Exchange Server, связанная с удаленным выполнением кода;
- CVE-2021-33779: уязвимость, связанная с обходом защитных механизмов Windows ADFS;
- CVE-2021-33781: уязвимость, связанная с обходом защитных механизмов Active Directory.
Что касается багов, которые уже взяли на вооружение хакеры, один из них — это проблема PrintNightmare (CVE-2021-34527), о которой мы детально рассказывали ранее. А три другие уязвимости, находившееся под атаками, о которых не было известно ранее, это:
- CVE-2021-33771: уязвимость в ядре Windows, связанная с повышением привилегий;
- CVE-2021-34448: уязвимость скриптового движка, приводящая к повреждению информации в памяти;
- CVE-2021-31979: уязвимость в ядре Windows, связанная с повышением привилегий.
Наряду с Microsoft обновления для своих продуктов на этой неделе представили и другие компании. Патчи выпустили:
- Adobe;
- Apache Tomcat;
- Cisco;
- разработчики SUSE, Oracle Linux и Red Hat;
- SAP;
- Schneider Electric;
- Siemens;
- VMware.
