سه‌شنبه، 21 آذر 1402، شرکت مایکروسافت (Microsoft)، مجموعه اصلاحیه‌های امنیتی ماهانه خود را برای ماه میلادی دسامبر 2023 منتشر کرد. اصلاحیه‌های مذکور، بیش از 30 آسیب‌پذیری را در Windows و محصولات مختلف این شرکت ترمیم می‌کنند.
مجموعه‌اصلاحیه‌های دسامبر، انواع مختلفی از آسیب‌پذیری‌ها از جمله موارد زیر را در محصولات مایکروسافت ترمیم می‌کنند:
- Remote Code Execution – به اختصار RCE (اجرای از راه دور کد)
- Elevation of Privilege (افزایش سطح دسترسی)
- Information Disclosure (افشای اطلاعات)
- Denial of Service – به اختصار DoS (منع سرویس)
- Security Feature Bypass (دور زدن سازوکارهای امنیتی)
- Spoofing (جعل)
Elevation of Privilege، با 10 مورد، بیشترین سهم از آسیب‌پذیری‌های این ماه را به خود اختصاص داده است.
در حالی که 8 مورد از آسیب‌پذیری‌های وصله‌شده نیز در دسته RCE قرار گرفته‌اند اما مایکروسافت، در کل، فقط 4 ضعف امنیتی این ماه را “بحرانی” (Critical) گزارش کرده است.
در درجه‌بندی شرکت مایکروسافت، نقاط ضعفی که سوءاستفاده از آنها بدون نیاز به دخالت و اقدام کاربر باشد، “بحرانی” تلقی شده و اصلاحیه‌هایی که این نوع نقاط ضعف را ترمیم می‌کنند، بالاترین درجه حساسیت یا “بحرانی” را دریافت می‌نمایند. نقاط ضعفی که سوءاستفاده موفق از آنها نیازمند فریب کاربر به انجام کاری باشد یا نیازمند دسترسی فیزیکی به دستگاه هدف باشد، توسط اصلاحیه‌هایی با درجه حساسیت “زیاد” (Important) برطرف و ترمیم می‌گردند.
CVE-2023-35630 و CVE-2023-35641، از جمله آسیب‌پذیری‌های “بحرانی” این ماه هستند. سرویس Internet Connection Sharing – به اختصار ICS –، در نسخه‌های خاصی از Windows از این دو ضعف امنیتی متأثر می‌شوند. مهاجم می‌تواند با دست‌درازی به فیلد length در پیام ورودی DHCPv6 DHCPV6_MESSAGE_INFORMATION_REQUEST، از این ضعف، سوءاستفاده کند.
یک آسیب‌پذیری وصله‌شده این ماه نیز از نوع “روز-صفر” اعلام شده است. مایکروسافت، آن دسته از آسیب‌پذیری‌ها را روز-صفر می‌داند که قبل از عرضه اصلاحیه و به‌روزرسانی امنیتی برای آنها، یا موردسوءاستفاده مهاجمان قرار گرفته‌اند یا جزییات آنها به‌طور عمومی افشا شده باشد. تنها، آسیب‌پذیری روز-صفر این ماه که به آن شناسه CVE-2023-20588 تخصیص داده شده، ضعفی است که از وجود یک باگ در پردازشگرهای AMD ناشی می‌شود. با این توضیح که از افشای آسیب‌پذیری مذکور، بیش از 4 ماه می‌گذرد.
از دیگر آسیب‌پذیری‌های قابل‌توجه این ماه، می‌توان به CVE-2023-35628 اشاره کرد که ضعفی از نوع RCE در Windows MSHTML Platform است. از بستر MSHTML، در مرورگرهای مختلف نظیر Edge و به طور کلی برنامه‌های تحت وبی که از کنترل WebBrowser بهره می‌گیرند استفاده می‌شود. نکته قابل توجه این که مهاجم می‌تواند تنها با ارسال یک ایمیل حاوی Exploit آسیب‌پذیری مذکور، موجب اجرای کد مخرب در زمان دریافت و پردازش ایمیل توسط Outlook شود. این بدان معناست که مهاجم برای سوءاستفاده از CVE-2023-35628، وابسته به باز شدن ایمیل توسط قربانی و یا حتی نمایش آن در پنجره Preview Pane نرم‌افزار Outlook نخواهد بود.
CVE-2023-35636 نیز یکی دیگر از آسیب‌پذیری‌های حائز اهمیت این ماه است. CVE-2023-35636 ضعفی از نوع Information Disclosure در Outlook است که سوءاستفاده از آن می‌تواند منجر به افشای هش‌های NTLM شود. مهاجم می‌تواند در ادامه کار، از هش‌های NTLM سرقت‌شده در حملاتی همچون Pass-the-Hash سوءاستفاده کند.
فهرست کامل آسیب‌پذیری‌های ترمیم‌شده توسط مجموعه‌اصلاحیه‌های دسامبر 2023 مایکروسافت در جدول زیر قابل مطالعه است:
تاریخ انتشار | تاریخ آخرین به‌روزرسانی | شناسه | شرح | افشای عمومی | گزارش سوءاستفاده |
Sep 12, 2023 | Dec 12, 2023 | Visual Studio Remote Code Execution Vulnerability | خیر | خیر | |
Sep 12, 2023 | Dec 12, 2023 | Visual Studio Remote Code Execution Vulnerability | خیر | خیر | |
Sep 12, 2023 | Dec 12, 2023 | Visual Studio Remote Code Execution Vulnerability | خیر | خیر | |
Sep 12, 2023 | Dec 12, 2023 | Visual Studio Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Cloud Files Mini Filter Driver Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Local Security Authority Subsystem Service Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft Dynamics 365 (on-premises) Cross-site Scripting Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft Power Platform Connector Spoofing Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | DHCP Server Service Information Disclosure Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Win32k Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft Defender Denial of Service Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft Word Information Disclosure Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft WDAC OLE DB provider for SQL Server Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Telephony Server Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows DPAPI (Data Protection Application Programming Interface) Spoofing Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | XAML Diagnostics Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Sysmain Service Elevation of Privilege | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | DHCP Server Service Information Disclosure Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Internet Connection Sharing (ICS) Denial of Service Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Internet Connection Sharing (ICS) Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft ODBC Driver Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | DHCP Server Service Denial of Service Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft Outlook Information Disclosure Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Kernel Denial of Service Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Bluetooth Driver Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Kernel Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Ancillary Function Driver for WinSock Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Win32k Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Internet Connection Sharing (ICS) Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft USBHUB 3.0 Device Driver Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows MSHTML Platform Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Azure Machine Learning Compute Instance for SDK Users Information Disclosure Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Azure Connected Machine Agent Elevation of Privilege Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows DNS Spoofing Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft Dynamics 365 Finance and Operations Denial of Service Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Microsoft Outlook for Mac Spoofing Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | Windows Media Remote Code Execution Vulnerability | خیر | خیر | |
Dec 12, 2023 | Dec 12, 2023 | AMD: CVE-2023-20588 AMD Speculative Leaks Security Notice | بله | خیر | |
Nov 13, 2018 | Dec 12, 2023 | Latest Servicing Stack Updates | خیر | خیر |
منابع:
https://msrc.microsoft.com/update-guide/vulnerability
https://news.sophos.com/en-us/2023/12/12/from-microsoft-to-you-33-packages
https://blog.talosintelligence.com/microsoft-patch-tuesday-december-2023