در خرداد 1402، شرکت‌های مایکروسافت، سیسکو، ترلیکس، بیت‌دیفندر، فورتی‌نت، وی‌ام‌ور، موزیلا، گوگل، ادوبی و جونیپرنت‌ورکز اقدام به عرضه به‌روزرسانی و توصیه‌نامه امنیتی برای برخی محصولات خود کردند.
در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتا تهیه شده، برخی از این بهروزرسانیهای منتشرشده به طور اجمالی مورد بررسی قرار گرفته است.
| مایکروسافت | فورتی‌نت | گوگل |
| سیسکو | وی‌ام‌ور | ادوبی |
| ترلیکس | موزیلا | جونیپر نت‌ورکز |
| بیت‌دیفندر |
مـایـکـروسـافـت
23 خرداد 1402، شرکت مایکروسافت (Microsoft)، مجموعه اصلاحیه‌های امنیتی ماهانه خود را برای ماه میلادی ژوئن 2023 منتشر کرد. اصلاحیه‌های مذکور حدود 80 آسیب‌پذیری را در Windows و محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت 6 مورد از آسیب‌پذیری‌های ترمیم شده این ماه «بحرانی» (Critical) و اکثر موارد دیگر «زیاد» (Important) اعلام شده است.
این مجموعه اصلاحیه‌ها، انواع مختلفی از آسیب‌پذیری‌ها را در محصولات مایکروسافت ترمیم می‌کنند:
- Remote Code Execution – به اختصار RCE (اجرای از راه دور کد)
- Elevation of Privilege (افزایش سطح دسترسی)
- Information Disclosure (افشای اطلاعات)
- Denial of Service – به اختصار DoS (منع سرویس)
- Security Feature Bypass (دور زدن سازوکارهای امنیتی)
- Spoofing (جعل)
اگر چه هیچ یک از آسیب‌پذیری‌های ترمیم‌شده توسط مجموعه‌اصلاحیه این ماه، «روز-صفر» گزارش نشده اما حدود نیمی از آنها از نوع RCE هستند.
از آسیب‌پذیری‌های قابل توجه این ماه می‌توان به موارد زیر اشاره کرد.
- CVE-2023-29357 که ضعفی از نوع Elevation of Privilege در Microsoft SharePoint Server است که سوءاستفاده از آن مهاجمان با دسترسی شبکه‌ای به سرور را به‌نحوی قادر به سرقت اطلاعات اصالت‌سنجی کاربران با دسترسی مجاز به سرور می‌کند.
- CVE-2023-29363 و CVE-2023-32014/32015 که سه آسیب‌پذیری از نوع RCE هستند. Windows Pragmatic General Multicast – به اختصار PGM – از آسیب‌پذیری‌های مذکور، متأثر می‌شوند. در صورت استفاده از سرویس Windows Message Queuing در شبکه سازمان، سوءاستفاده از این آسیب‌پذیری‌ها می‌توانند مهاجم را قادر به اجرای کد مورد بالقوه مخرب بر روی دستگاه‌ها کند.
- CVE-2023-33146 که ضعفی از نوع RCE در نرم‌افزار Microsoft Office است و به نظر می‌رسد با فراخوانی فایل‌های SketchUp دستکاری‌شده می‌تواند مورد سوءاستفاده قرار بگیرد.
یادآوری می‌گردد با توجه به توقف عرضه اصلاحیه‌های امنیتی از سوی شرکت مایکروسافت برای سیستم‌های عامل از رده خارجی همچون Windows 7 و ریسک بسیار بالای ادامه استفاده از آنها، ارتقاء یا تغییر این سیستم‌های عامل توصیه اکید می‌شود.
فهرست کامل آسیب‌پذیری‌های ترمیم شده توسط مجموعه‌اصلاحیه‌های ژوئن 2023 مایکروسافت در گزارش زیر قابل مطالعه است:
https://newsroom.shabakeh.net/28220/microsoft-security-updates-2023-06.html
سـیـسـکو
شرکت سیسکو (Cisco Systems) در خرداد ماه در چندین نوبت اقدام به عرضه بهروزرسانیهای امنیتی برای برخی از محصولات خود کرد. این بهروزرسانیها، حدود 15 آسیب‌پذیری را در محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت 2 مورد از آنها از نوع «بحرانی» و 3 مورد نیز از نوع «بالا» (High) گزارش شده است. آسیب‌پذیری‌هایی همچون «تزریق کد از طریق سایت» (Cross site Scripting)، «تزریق فرمان» (Command Injection) و «افشای اطلاعات» از جمله مهمترین اشکالات مرتفع شده توسط بهروزرسانیهای جدید هستند. مهاجم می‌تواند از بعضی از این آسیب‌پذیری‌ها برای کنترل سیستم آسیبپذیر سوءاستفاده کند. اطلاعات بیشتر در نشانی زیر قابل دسترس می‌باشد:
https://tools.cisco.com/security/center/publicationListing.x
تـرلـیـکـس
در خرداد ماه، شرکت ترلیکس (Trellix)، اقدام به انتشار TIE Server 4.0.0 Hotfix 3 نمود. جزییات نسخه جدید در لینک زیر قابل مطالعه است:
https://docs.trellix.com/bundle/threat-intelligence-exchange-v4-0-x-hotfix3-release-notes
بـیـت‌دیـفـنـدر
در ماهی که گذشت شرکت بیت‌دیفندر (Bitdefender) نسخه‌های زیر را منتشر کرد:
GravityZone Control Center Version 6.41.0-1
Bitdefender Endpoint Security Tools for Windows Version 7.9.2.290
Bitdefender Endpoint Security Tools for Mac
Security Server Multi-Platform Version 6.2.15.153
جزییات نسخه‌های جدید منتشرشده در لینک زیر قابل دریافت است:
https://www.bitdefender.com/business/support/en/77211-48453-release-notes.html
فـورتـی‌نـت
در ماهی که گذشت شرکت فورتی‌نت (Fortinet) با انتشار چندین توصیه‌نامه از ترمیم ضعف‌های امنیتی در محصولات خود خبر داد. مواردی نیز از سوءاستفاده مهاجمان از برخی از آسیب‌پذیری‌های کشف‌شده در محصولات این شرکت گزارش شد.
توصیه‌های نامه‌های امنیتی فورتی‌نت در لینک زیر قابل مطالعه است:
https://www.fortiguard.com/psirt
وی‌ام‌ور
شرکت وی‌ام‌ور(VMware) در ماهی که گذشت با انتشار توصیه‌نامه‌های امنیتی نسبت به ترمیم چندین ضعف امنیتی در محصولات زیر اقدام کرد:
VMware vCenter Server VMSA-2023-0014
VMware Tools VMSA-2023-0013
VMware Aria Operations VMSA-2023-0012.2
VMware Workspace ONE Access and Identity Manager VMSA-2023-0011
NSX-T VMSA-2023-0010
شدت برخی آسیب‌پذیری‌های ترمیم‌شده بحرانی گزارش شده است.
مـوزیـلا
در خرداد ماه، شرکت موزیلا (Mozilla) با ارائه به‌روزرسانی، چند آسیب‌پذیری امنیتی را در مرورگر Firefox و نرم‌افزار مدیریت ایمیل Thunderbird برطرف کرد. سوءاستفاده از برخی از ضعف‌های مذکور، مهاجم را قادر به در اختیار گرفتن کنترل دستگاه آسیبپذیر می‌کند. توضیحات بیشتر در لینک زیر قابل مطالعه است:
https://www.mozilla.org/en-US/security/advisories/
گـوگـل
در خرداد 1402، شرکت گوگل (Google) با انتشار یک به‌روزرسانی امنیتی اضطراری، ضعفی با شناسه CVE-2023-3079 را در مرورگر Chrome که مهاجمان در حال بهره‌جویی از آن هستند ترمیم کرد. بر طبق اطلاعیه گوگل، این شرکت از انتشار اکسپلویت این ضعف امنیتی آگاه است.
CVE-2023-3079، سومین آسیب‌پذیری روز-صفر در Chrome است که در سال میلادی جاری پیش از عرضه اصلاحیه برای آن مورد اکسپلویت قرار گرفته است. نشانه‌ای بارز از آن که مهاجمان حرفه‌ای توجهی خاص به این مرورگر پرطرفدار دارند.
این آسیب‌پذیری جدید که به آن درجه حساسیت بالا تخصیص داده شده باگی از نوع Type Confusion است که پویشگر Chrome V8 JavaScript از آن متأثر می‌شود.
به طور کلی، آسیب‌پذیری‌های Type Confusion زمانی رخ می‌دهند که برنامه یک منبع، شئی (Object) یا متغیر را با استفاده از یک نوع خاص مقداردهی می‌کند و سپس با استفاده از نوع متفاوت و ناسازگار به آنها دسترسی پیدا می‌کند و در عمل بستر را برای دسترسی خارج از محدوده مجاز به حافظه فراهم می‌کند. با چنین دسترسی‌های غیرمجاز به حافظه مهاجم می‌تواند اطلاعات حساس برنامه‌های دیگر را بخواند، باعث خرابی شود یا اقدام به اجرای کد دلخواه خود کند.
هدایت کاربر به یک صفحه HTML حاوی کد اکسپلویت، از جمله سناریوهای محتمل برای بهره‌جویی از این آسیب‌پذیری است.
آسیب‌پذیری CVE-2023-3079 در نسخه 114.0.5735.110 مرورگر Chrome ترمیم و اصلاح شده است.
با توجه به بهره‌جویی مهاجمان از این ضعف امنیتی به تمامی کاربران Chrome توصیه اکید می‌شود که از به‌روز بودن این مرورگر بر روی دستگاه خود اطمینان حاصل کنند.
توضیحات گوگل در خصوص آسیب‌پذیری CVE-2023-3079 در لینک زیر قابل دریافت و مطالعه است:
https://chromereleases.googleblog.com/2023/06/stable-channel-update-for-desktop.html
ادوبـی
در خرداد، شرکت ادوبی (Adobe) مجموعه اصلاحیه‌های امنیتی ژوئن 2023 را منتشر کرد. اصلاحیه‌های مذکور، آسیب‌پذیری‌هایی را در محصولات زیر ترمیم می‌کنند.
سوءاستفاده از برخی از این ضعف‌های امنیتی، مهاجم را قادر به در اختیار گرفتن دستگاه حاوی نسخه آسیبپذیر ادوبی می‌کند.
جـونـیـپـر نـت‌ورکـز
جونیپر نت‌ورکز (Juniper Networks) هم در خرداد ماه با ارائه به‌روزرسانی چندین ضعف امنیتی را محصولات مختلف این شرکت ترمیم کرد. سوءاستفاده از ضعف‌های مذکور مهاجم را قادر به در اختیار گرفتن کنترل دستگاه آسیبپذیر می‌کند. جزییات بیشتر در لینک زیر قابل مطالعه است:
https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES
آسـیب‌پـذیـری‌هـای در حـال سـوءاسـتفـاده
در خرداد 1402، مرکز CISA ایالات متحده، ضعف‌های امنیتی زیر را به «فهرست آسیب‌پذیری‌های در حال سوءاستفاده» یا همان Known Exploited Vulnerabilities Catalog اضافه کرد:
- CVE-2023-32434 Apple Multiple Products Integer Overflow Vulnerability
- CVE-2023-32435 Apple iOS and iPadOS WebKit Memory Corruption Vulnerability
- CVE-2023-32439 Apple Multiple Products WebKit Type Confusion Vulnerability
- CVE-2023-20867 VMware Tools Authentication Bypass Vulnerability
- CVE-2023-27992 Zyxel Multiple NAS Devices Command Injection Vulnerability
- CVE-2023-20887 Vmware Aria Operations for Networks Command Injection Vulnerability
- CVE-2020-35730 Roundcube Webmail Cross-Site Scripting (XSS) Vulnerability
- CVE-2020-12641 Roundcube Webmail Remote Code Execution Vulnerability
- CVE-2021-44026 Roundcube Webmail SQL Injection Vulnerability
- CVE-2016-9079 Mozilla Firefox, Firefox ESR, and Thunderbird Use-After-Free Vulnerability
- CVE-2016-0165 Microsoft Win32k Privilege Escalation Vulnerability
- CVE-2023-27997 Fortinet FortiOS and FortiProxy SSL-VPN Heap-Based Buffer Overflow Vulnerability
- CVE-2023-3079 Google Chromium V8 Type Confusion Vulnerability
- CVE-2023-33009 Zyxel Multiple Firewalls Buffer Overflow Vulnerability
- CVE-2023-33010 Zyxel Multiple Firewalls Buffer Overflow Vulnerability
- CVE-2023-34362 Progress MOVEit Transfer SQL Injection Vulnerability
- CVE-2023-28771 Zyxel Multiple Firewalls OS Command Injection Vulnerability
- CVE-2023-2868 Barracuda Networks ESG Appliance Improper Input Validation Vulnerability
- CVE-2023-32409 Apple Multiple Products WebKit Sandbox Escape Vulnerability
- CVE-2023-28204 Apple Multiple Products WebKit Out-of-Bounds Read Vulnerability
- CVE-2023-32373 Apple Multiple Products WebKit Use-After-Free Vulnerability
فهرست کامل Known Exploited Vulnerabilities Catalog در لینک زیر قابل دریافت و مطالعه است:
https://www.cisa.gov/known-exploited-vulnerabilities-catalog