Microsoft Lança Atualizações de Outubro de 2023 para 103 Vulnerabilidades
Em sua atualização de Patch Tuesday de outubro de 2023, a Microsoft corrigiu um total de 103 vulnerabilidades em seu software, sendo que duas delas já estavam sendo exploradas ativamente.
Das 103 falhas identificadas, 13 são classificadas como Críticas e 90 como Importantes em termos de gravidade. Além disso, a empresa corrigiu 18 vulnerabilidades de segurança em seu navegador Edge baseado em Chromium desde a segunda terça-feira de setembro.
As duas vulnerabilidades que foram exploradas como zero-days são:
- CVE-2023-36563 (pontuação CVSS: 6.5): Uma vulnerabilidade de divulgação de informações no Microsoft WordPad que pode resultar no vazamento de hashes NTLM.
- CVE-2023-41763 (pontuação CVSS: 5.3): Uma vulnerabilidade de escalada de privilégio no Skype for Business que pode resultar na exposição de informações sensíveis, como endereços IP ou números de porta, permitindo que invasores acessem redes internas.
Sobre a CVE-2023-36563, a Microsoft declarou: “Para explorar essa vulnerabilidade, um invasor precisaria inicialmente acessar o sistema. Ele poderia então executar um aplicativo especialmente desenvolvido para explorar a falha e assumir o controle do sistema afetado.”
Além disso, a empresa observou que um invasor poderia convencer um usuário a abrir um arquivo malicioso, geralmente por meio de uma isca em um email ou mensagem instantânea.
Mais Correções
A Microsoft também corrigiu diversas falhas que afetam o Microsoft Message Queuing (MSMQ) e o Protocolo de Túnel de Camada 2, que poderiam resultar na execução remota de código e negação de serviço (DoS).
Outro destaque da atualização foi a correção de uma falha crítica de escalada de privilégio no Windows IIS Server (CVE-2023-36434, pontuação CVSS: 9.8), que poderia permitir a um invasor se passar por outro usuário através de um ataque de força bruta.
A gigante da tecnologia também atualizou o CVE-2023-44487, conhecido como ataque de reinicialização rápida HTTP/2, que invasores exploraram para realizar ataques de negação de serviço distribuído de alto volume (DDoS). No entanto, a Microsoft reforçou que, embora esse ataque DDoS possa afetar a disponibilidade do serviço, ele não compromete os dados dos clientes.
Por fim, a Microsoft anunciou a descontinuação do Visual Basic Script (VBScript), frequentemente explorado na distribuição de malware. A empresa informou que “nas futuras versões do Windows, o VBScript estará disponível como um recurso sob demanda antes de ser removido completamente do sistema operacional.”
Sou entusiasta de Tecnologia, Gamer, Blogueiro e Editor do Portal do Pixel.
