به‌روزرسانی‌ها و اصلاحیه‌های منتشر شده در آخرین ماه 1399

در اسفند ۱۳۹۹، شرکت‌های مایکروسافت، سیسکو، وی‌اِم‌وِر، اف‌فایو، سونیک‌وال، بیت‌دیفندر، گوگل، موزیلا، ادوبی، اس‌آپ و اپل اقدام به عرضه به‌روزرسانی و توصیه‌نامه امنیتی برای برخی محصولات خود کردند که در ادامه این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتای ریاست جمهوری تهیه شده به آنها پرداخته شده است.

مـایـکـروسـافـت

19 اسفند، شرکت مایکروسافت (Microsoft Corp)، مجموعه‌اصلاحیه‌های امنیتی ماهانه خود را برای ماه میلادی مارس منتشر کرد. اصلاحیه‌های مذکور در مجموع 82 آسیب‌پذیری را در Windows و محصولات و اجزای نرم‌افزاری زیر ترمیم می‌کنند:

• Azure
• HEVC Video Extensions
• Internet Explorer
• Microsoft 365 Apps for Enterprise
• Microsoft Business Productivity Servers
• Microsoft Edge
• Microsoft Excel
• Microsoft Office
• Microsoft PowerPoint
• Microsoft Quantum Development Kit for Visual Studio Code
• Microsoft SharePoint
• Microsoft Visio
• Microsoft Visual Studio
• Power BI Report Server
• Visual Studio

درجه اهمیت 10 مورد از این آسیب‌پذیری‌ها “حیاتی” (Critical) و 72 مورد “مهم” (Important) اعلام شده است.

دو مورد از آسیب‌پذیری‌های ترمیم شده توسط این اصلاحیه‌ها، روز-صفر (Zero-day) بوده و جزییات آنها پیش‌تر به‌صورت عمومی منتشر شده بود. فهرست این آسیب‌پذیری‌های روز-صفر به شرح زیر است:

• CVE-2021-26411 که ضعفی از نوع Memory Corruption در مرورگر Internet Explorer است. هدایت کاربر به یک صفحه حاوی کد Exploit آن می‌تواند یکی از سناریوهای احتمالی سوءاستفاده از این آسیب‌پذیری باشد. نکته بسیار مهم این که حداقل از ماه فوریه گروهی از مهاجمان از آسیب‌پذیری مذکور به منظور نصب یک Backdoor سفارشی بر روی اهداف خود استفاده کرده‌اند.
• CVE-2021-27077 که ضعفی از Elevation of Privilege است که Win32k در سیستم عامل Windows متأثر می‌شود.

همچنین چندین آسیب‌پذیری در سرویس DNS سیستم عامل Windows توسط اصلاحیه‌های این ماه ترمیم شده‌اند. CVE-2021-26877، CVE-2021-26893، CVE-2021-26894، CVE-2021-26895 و CVE-2021-26897 در دسته از RCE و CVE-2021-27063 و CVE-2021-26896 در دسته آسیب‌پذیری‌های Denial of Service (از کاراندازی سرویس) قرار می‌گیرند.

لازم به ذکر است که 12 اسفند ماه شرکت مایکروسافت با انتشار به‌روزرسانی اضطراری و خارج از برنامه، چهار آسیب‌پذیری بحرانی روز-صفر را در نسخ مختلف Microsoft Exchange ترمیم کرد. جزییات بیشتر در خصوص این به‌روزرسانی‌ها در لینک های زیر قابل مطالعه است:

• https://afta.gov.ir/portal/home/?news/235046/237266/243111/
• https://afta.gov.ir/portal/home/?news/235046/237266/242971/
• https://afta.gov.ir/portal/home/?news/235046/237266/243066/
• https://afta.gov.ir/portal/home/?news/235046/237266/243067/
• https://afta.gov.ir/portal/home/?news/235046/237266/243110/

به‌روزرسانی‌های 12 اسفند علاوه بر موارد بالا سه آسیب‌پذیری زیر را نیز که همگی از نوع RCE (اجرای کد به صورت از راه دور) هستند در Microsoft Exchange ترمیم می‌کنند:

• CVE-2021-26412
• CVE-2021-27065
• CVE-2021-27078

جزییات بیشتر در خصوص مجموعه اصلاحیه های ماه مارس مایکروسافت را در گزارش زیر که با همکاری مرکز مدیریت راهبردی افتای ریاست جمهوری و شرکت مهندسی شبکه گستر تهیه شده بخوانید:

• https://afta.gov.ir/portal/home/?news/235046/237266/243062/

سـیـسـکـو

شرکت سیسکو (Cisco Systems Inc) در اسفند ماه در چندین نوبت اقدام به عرضه اصلاحیه‌های امنیتی برای برخی از محصولات خود کرد. این به‌روزرسانی‌ها نزدیک به 40 آسیب‌پذیری را در محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت 4 مورد آنها “حیاتی” و 7 مورد “بالا” (High) گزارش شده است. آسیب‌پذیری به حملاتی همچون “عبور از سد کنترل‌های اصالت‌سنجی”، “نشت اطلاعات”
(Information Disclosure) و “از کاراندازی سرویس” (Denial of Service) از جمله اشکالات مرتفع شده توسط به‌روزرسانی‌های جدید هستند. توضیحات کامل در مورد به‌روزرسانی‌های عرضه شده در لینک زیر قابل دسترس است:

• https://tools.cisco.com/security/center/publicationListing.x

وی‌اِم‌وِر

5 اسفند شرکت وی‌ام‌ور (VMware, Inc) ضعفی “حیاتی” (Critical) از نوع RCE (“اجرای کد به صورت از راه دور”) را در vCenter Server برطرف کرد که سوءاستفاده از آن به‌طور بالقوه کنترل سامانه آسیب‌پذیر را در اختیار مهاجم قرار می‌دهد.

به آسیب‌پذیری مذکور شناسه CVE-2021-21972 تخصیص داده شده است. سطح حساسیت آن نیز 9.8 از 10 – بر طریق استاندارد CVSSv3 – اعلام شده است.

اکسپلویت CVE-2021-21972 به‌صورت از راه دور و بدون نیاز به اصالت‌سنجی، با پیچیدگی کم ممکن گزارش شده است.

بر طبق توصیه‌نامه وی‌ام‌ور، vSphere Client (HTML5) شامل ضعفی در یک افزونه vCenter Server است. مهاجم با دسترسی شبکه‌ای به پورت 443 قادر به اکسپلویت کردن آن و اجرای فرامین با سطح دسترسی نامحدود بر روی سیستم عامل میزبان vCenter Server خواهد بود.

این آسیب‌پذیری در اکتبر 2020 توسط شرکت پازیتیو تکنالاجیز (Positive Technologies) به‌طور خصوصی به وی‌ام‌ور گزارش شده بود. پس ترمیم آن در 5 اسفند و در پی آن انتشار حداقل دو نمونه اثبات‌گر (PoC)، جزییات فنی آن نیز در قالب لینک زیر از سوی پازیتیو تکنالاجیز منتشر شد:

• https://swarm.ptsecurity.com/unauth-rce-vmware/

به دلیل حساسیت بالا و ماهیت حیاتی این آسیب‌پذیری و از همه مهمتر انتشار جزییات فنی و نمونه‌های اثبات‌گر ارتقای فوری vCenter Server به یکی از نسخ زیر توصیه می‌شود:

• 5 U3n
• 7 U3l
• 0 U1c

نسخ بالا، یک ضعف امنیتی “متوسط” (Moderate) با شناسه CVE-2021-21973 را نیز در vCenter Server برطرف می‌کنند.

همچنین وی‌ام‌ور راهکار موقت (Workaround) زیر را برای آن دسته از راهبرانی که امکان ارتقای فوری vCenter Server را ندارند ارائه کرده است:

• https://kb.vmware.com/s/article/82374

لازم به ذکر است که برخی منابع از پویش گسترده مهاحمان برای شناسایی سرورهای آسیب‌پذیر وی‌ام‌ور بر روی اینترنت خبر داده‌اند که می‌تواند نشانه‌ای از مورد اکسپلویت قرار گرفتن CVE-2021-21972 در آینده‌ای نزدیک باشد.

5 اسفند، وی‌ام‌ور ضعفی “مهم” (Important) از نوع Heap-overflow با شناسه CVE-2021-21974 را نیز در VMware ESXi ترمیم کرد که سوءاستفاده از آن در شرایطی امکان اجرای کد به‌صورت از راه دور را ممکن می‌کند.

این شرکت 12 اسفند نیز یک آسیب‌پذیری به شناسه CVE-2021-21978 و با درجه حساسیت “مهم” را در View Planner برطرف کرد. سوءاستفاده از آسیب پذیری مذکور امکان اجرای کد به‌صورت از راه دور را برای مهاجم فراهم می‌کند.

توصیه‌نامه‌های وی‌ام‌ور در خصوص آسیب‌پذیری‌های مذکور در لینک‌های زیر قابل دریافت و مطالعه است:

• https://www.vmware.com/security/advisories/VMSA-2021-0002.html
• https://www.vmware.com/security/advisories/VMSA-2021-0003.html

اف‌فـایـو

20 اسفند شرکت اف فایو (F5, Inc) در مجموع 21 آسیب پذیری را در برخی محصولات این شرکت را ترمیم کرد. شدت حساسیت 4 مورد از آسیب‌پذیری‌های مذکور، “حیاتی” گزارش شده است. جزییات بیشتر در لینک زیر قابل مطالعه است:

• https://support.f5.com/csp/article/K02566623

لازم به ذکر است که یکی از این آسیب پذیری ها با شناسه CVE-2021-22986 در دو محصول BIG-IP و BIG-IQ مورد سوءاستفاده مهاجمان قرار گرفته است.

سـونیـک‌وال

در بهمن ماه شرکت سونیک‌وال (SonicWall Inc) با انتشار اطلاعیه‌ای از بهره‌جویی مهاجمان از یک آسیب‌پذیری روز-صفر در برخی محصولات این شرکت برای رخنه به سامانه‌های داخلی آن خبر داد. این شرکت در اسفند ماه نیز در چندین نوبت اقدام به به‌روزرسانی توصیه‌نامه امنیتی خود در خصوص این آسیب‌پذیری‌ها کرد. به کلیه راهبران محصولات سونیک‌وال از جمله محصولات Secure Mobile Access – به اختصار SMA – مطالعه اطلاعیه امنیتی زیر توصیه می شود:

• https://www.sonicwall.com/support/product-notification/additional-sma-100-series-10-x-and-9-x-firmware-updates-required-updated-feb-19-2-p-m-cst/210122173415410/

بـیـت‌دیـفـنـدر

در دوازدهمین ماه از سال ۱۳۹۹ شرکت بیت‌دیفندر (Bitdefender Corp) نسخه جدید راهکار Bitdefender GravityZone با شناسه 6.21.1-1 را منتشر کرد. از جمله تغییرات اعمال شده در نسخه 6.21.1-1 ارتقای سیستم عامل GravityZone Appliance به نگارش جدید است.

پشتیبانی از Ubuntu 16.04 LTS که سیستم عامل مورد استفاده در GravityZone است رسماً در 10 اردیبهشت 1400 پایان می‌یابد. پس از آن تاریخ، ارائه اصلاحیه‌های حیاتی و به‌روزرسانی‌های امنیتی برای این نسخه از سیستم عامل Ubuntu متوقف خواهد شد. شرکت بیت‌دیفندر نیز در 6.21.1-1 نسخه سیستم عامل مذکور را در Appliance خود به 20.04 LTS ارتقا داده است.

جزییات بیشتر در خصوص GravityZone 6.21.1-1 در اینجا قابل دریافت و مطالعه است.

همچنین این شرکت نسخ 6.6.25.359، 6.2.21.137 و 4.15.137.200137 را به‌ترتیب برای محصولات Endpoint Security Tools for Windows، Bitdefender Endpoint Security for Linux و Endpoint Security for Mac منتشر کرده است. جزییات بیشتر را در لینک‌های زیر بخوانید:

• https://www.bitdefender.com/support/bitdefender-endpoint-security-tools-version-6-6-25-359-release-notes-(windows)-2675.html
• https://www.bitdefender.com/support/bitdefender-endpoint-security-tools-version-6-2-21-137-release-notes-(linux)-2670.html
• https://www.bitdefender.com/support/endpoint-security-for-mac-version-4-15-137-200137-release-notes-2671.html

گـوگـل

در اسفند ماه شرکت گوگل (Google LLC) در سه نوبت با عرضه به‌روزرسانی اقدام به ترمیم آسیب‌پذیری‌های امنیتی مرورگر Chrome کرد. آخرین نسخه این مرورگر که در 22 اسفند انتشار یافت 89.0.4389.90 است. فهرست اشکالات مرتفع شده در لینک‌های زیر قابل دریافت و مشاهده است:

• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop_12.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop_5.html
• https://chromereleases.googleblog.com/2021/03/stable-channel-update-for-desktop.html

مـوزیـلا

در ماهی که گذشت شرکت موزیلا (Mozilla Corp) با ارائه به‌روزرسانی، در مجموع 10 آسیب پذیری با درجه اهمیت “بالا”، 4 ضعف امنیتی با درجه “متوسط” و 4 آسیب پذیری با درجه “کم” را در مرورگر Firefox و نرم‌افزار Thunderbird برطرف کرد. توضیحات بیشتر در لینک‌های زیر قابل مطالعه است:

• https://www.mozilla.org/en-US/security/advisories/mfsa2021-09/
• https://www.mozilla.org/en-US/security/advisories/mfsa2021-07/

ادوبـی

19 اسفند، شرکت ادوبی (Adobe Inc) مجموعه اصلاحیه‌های امنیتی ماه میلادی مارس خود را منتشر کرد. اصلاحیه‌های مذکور، در مجموع، 17 ضعف امنیتی را در محصولات زیر ترمیم می‌کنند:

• Photoshop: https://helpx.adobe.com/security/products/photoshop/apsb21-17.html
• Connect: https://helpx.adobe.com/security/products/connect/apsb21-19.html
• Creative Cloud Desktop Application: https://helpx.adobe.com/security/products/creative-cloud/apsb21-18.html
• Framemaker: https://helpx.adobe.com/security/products/framemaker/apsb21-14.html
• Animate: https://helpx.adobe.com/security/products/animate/apsb21-21.html

شدت حساسیت بسیاری از آسیب‌پذیری‌های مذکور، “حیاتی” گزارش شده و اکثر آنها در دسته آسیب‌پذیری به حملات اجرای کد قرار می‌گیرند.

اس‌آپ

اس‌آپ (SAP SE) دیگر شرکتی بود که در اسفند ماه ۹۹ با انتشار به‌روزرسانی امنیتی، آسیب‌پذیری‌هایی را در چندین محصول خود برطرف کرد. بهره‌جویی از بعضی از این آسیب‌پذیری‌های ترمیم شده مهاجم را قادر به در اختیار گرفتن کنترل سیستم می‌کند. جزییات بیشتر در لینک زیر قابل مطالعه است:

• https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=571343107

اپـل

در 19 اسفند ماه، شرکت اپل (Apple Inc) با انتشار به‌روزرسانی، ضعف‌هایی امنیتی را در محصولات زیر ترمیم و اصلاح کرد:

• Safari: https://support.apple.com/en-us/HT212223
• macOS Big Sur: https://support.apple.com/en-us/HT212220
• watchOS: https://support.apple.com/en-us/HT212222
• iOS & iPadOS: https://support.apple.com/en-us/HT212221

سوءاستفاده از برخی از ضعف‌های مذکور، مهاجم را قادر به در اختیار گرفتن کنترل سامانه آسیب‌پذیر می‌کند.