微软7月补丁日多个产品安全漏洞风险通告，包含5个紧急漏洞和2个在野利用漏洞

清理您的微软系统管理员的日程：Redmond 的 7 月补丁星期二中的一系列修复程序令人眼花缭乱，至少有两个错误正在遭受活跃攻击。

周二的软件更新解决了 130 多个 Microsoft CVE。

两个漏洞中的第一个漏洞（CVE-2024-38080）是 Windows Hyper-V 特权提升漏洞，CVSS 评级为 7.8 分（满分 10 分），Microsoft认为该漏洞“重要”。

我们不知道这个漏洞的利用有多广泛，尽管Microsoft确实指出“成功利用此漏洞的攻击者可以获得系统权限”。此外，正如 Zero Day Initiative 的 Dustin Childs 所指出的那样，这种漏洞对勒索软件非常有用。如果运行的是 Hyper-V，请测试并部署此更新。

在 Redmond 推送补丁之前被不法分子发现并利用的第二个错误是 Windows MSHTML 平台欺骗漏洞，跟踪为 CVE-2024-38112。MSHTML（又名Trident）是Microsoft专有的Internet Explorer浏览器引擎，该引擎获得了7.5的CVSS严重性评分。

它确实需要用户交互才能利用。正如雷德蒙德所解释的那样：“攻击者必须向受害者发送受害者必须执行的恶意文件。Check Point Research的Haifei Li发现了该漏洞，并向Microsoft报告了该漏洞。

它的利用结果是模糊的，尽管它似乎会导致信息或资源等东西暴露给错误的人。鉴于最近成功的社会工程攻击的普遍性 – 以及Microsoft已经检测到利用此CVE的事实 – 我们一次又一次地看到，让用户点击恶意链接非常容易。因此，请在下次错误点击触发 CVE-2024-38112 之前修补此漏洞。

more content

• Microsoft忘记了 SwiftKey 的支持网站
• Microsoft中国的员工无法使用Android登录，因此Redmond为他们购买了iThings
• OpenSSH 中令人讨厌的 regreSSHion 错误使大约 700K 的 Linux 机器处于危险之中
• 瞻博网络发布紧急补丁，应对 10 个路由器漏洞

被列为公开披露但未公开利用的两个 CVE 漏洞中的第一个是 CVE-2024-35264，这是 .NET 和 Visual Studio 中的远程代码执行漏洞。要利用此漏洞，攻击者需要诱导争用条件以允许不适当的数据访问。但他们可以用它来实现远程代码执行 （RCE）。

根据 Redmond 的说法：“攻击者可以通过在处理请求正文时关闭 http/3 流来利用这一点，从而导致竞争条件。Microsoft自己的拉德克·齐克蒙德（Radek Zikmund）发现了这个缺陷。

第二个已知但未被利用的漏洞 – CVE-2024-37985 – 影响了基于 Arm 的 Redmond 操作系统，它获得了 5.9 的 CVSS 评级。这是 2023 年的一次侧信道攻击，被称为 FetchBench，可以被滥用来泄露秘密信息。

五个关键的 Microsoft CVE

在剩余的 Microsoft CVE 中，有 5 个严重性为 8 个，其中 3 个（CVE-2024-38074、CVE-2024-38076 和 CVE-2024-38077）是 Windows 远程桌面许可服务中的 9.8 级 RCE 错误。雷德蒙德将这三者描述为“剥削的可能性较小”。

Zero Day Initiative 的 Childs 对 CVE-2024-38077 的建议是“利用这一点应该很简单，因为任何未经身份验证的用户只需向受影响的服务器发送恶意消息即可执行其代码。

他建议确保这些服务器无法通过互联网访问。“如果这些服务器中有一堆是互联网连接的，我预计很快就会被利用，”柴尔兹警告说。“现在也是审核服务器的好时机，以确保它们没有运行任何不必要的服务。”

另外两个关键的 Microsoft 错误包括 CVE-2024-38060 – Windows 映像组件中的 8.8 级 RCE，任何经过身份验证的用户都可以利用该漏洞将恶意 TIFF 文件上传到服务器。

同样值得注意的是 CVE-2024-38023——Microsoft SharePoint Server 中的一个 7.2 级缺陷，也可能导致 RCE。“具有网站所有者权限的经过身份验证的攻击者可以利用该漏洞注入任意代码并在 SharePoint Server 的上下文中执行此代码，”Redmond 解释说。

Adobe简化更新

Adobe 的月度补丁转储仅涉及三个产品和七个 CVE，而这些产品似乎都没有被犯罪分子发现和利用。

这是个好消息。坏消息是，七个错误中有六个是可能导致任意代码执行的关键错误。

今天的更新解决了 Adobe Premiere Pro 中的一个关键漏洞 CVE-2024-34123，以及 InDesign 中的其他四个关键缺陷 CVE-2024-20781、CVE-2024-20782、CVE-2024-20783、CVE-2024-20785。Adobe Bridge 的补丁修复了两个漏洞，其中一个 （CVE-2024-34139） 被评为严重，另一个 （CVE-2024-34140） 很重要，因为它可能导致内存泄漏。

SAP 安全更新

SAP 发布了 18 个新的和更新的补丁，其中两个是高优先级修复。

安全说明 #3483344 是最关键的。这是 SAP 产品设计成本估算 （PDCE） 中缺少授权检查漏洞，CVSS 得分为 7.7。

“SAP PDCE中支持远程的功能模块允许远程攻击者读取通用表数据，从而使系统的机密性面临高风险，”Onapsis研究实验室SAP安全研究员Thomas Fritsch警告说。“该补丁禁用了易受攻击的功能模块。”

Fortinet 修复漏洞

Fortinet 修复了 FortiOS 和 FortiProxy 的 Web SSL VPN UI 中跟踪为 CVE-2024-26006 的跨站脚本漏洞。该供应商警告说，它“可能允许未经身份验证的远程攻击者通过社会工程将目标用户添加为恶意桑巴服务器添加书签，然后打开书签来执行跨站点脚本攻击。

信息安全部门还在 FortiOS 和 FortiProxy IP 地址验证功能中修补了 CVE-2024-26015。未经身份验证的攻击者可能会滥用此漏洞，以使用特制请求绕过 IP 阻止列表。

Citrix 的加入

Citrix 解决了 CVE-2024-6151 和 CVE-2024-6286（Windows Virtual Delivery Agent 和 Citrix Workspace 应用程序中的 8.5 级权限提升缺陷），这些缺陷可能允许低特权用户获得系统权限。

Citrix Workspace 应用程序是虚拟桌面和应用程序的客户端，部署在许多不太严格托管的端点上，因此这是一个值得您关注的错误。

Android更新

在 7 月的补丁派对上，Google 发布了 Android 中 27 个 CVE 的补丁。最糟糕的是 CVE-2024-31320 – 框架组件中的一个关键安全漏洞，可能导致本地权限升级，而无需额外的执行权限。