به‌روزرسانی‌های امنیتی شرکت‌ها در خردادماه ۱۴۰۲

شرکت‌های مهم زیادی در طول خردادماه به‌روزرسانی‌های امنیتی برای نرم‌افزارهای خود منتشر کردند.
 
به گزارش افتانا به نقل، در خرداد ۱۴۰۲، شرکت‌های مایکروسافت، سیسکو، ترلیکس، بیت‌دیفندر، فورتی‌نت، وی‌ام‌ور و جونیپرنت‌ورکز برای برخی محصولات به‌روزرسانی و توصیه‌نامه امنیتی منتشر کردند.
 

شرکت مایکروسافت ۲۳ خرداد ۱۴۰۲، مجموعه ‌اصلاحیه‌های امنیتی ماهانه خود را برای ماه میلادی ژوئن ۲۰۲۳ منتشر کرد. اصلاحیه‌های یاد شده حدود ۸۰ آسیب‌پذیری را در ویندوز و محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت ۶ مورد از آسیب‌پذیری‌های ترمیم شده این ماه «بحرانی» و اکثر موارد دیگر «زیاد» اعلام شده است.
 
این مجموعه اصلاحیه‌ها، انواع مختلفی از آسیب‌پذیری‌ها را در محصولات مایکروسافت ترمیم می‌کنند:
 
Remote Code Execution – به اختصار RCE (اجرای از راه دور کد)
 
Elevation of Privilege (افزایش سطح دسترسی)
 
Information Disclosure (افشای اطلاعات)
 
Denial of Service - به اختصار DoS (منع سرویس)
 
Security Feature Bypass (دور زدن سازوکارهای امنیتی)
 
Spoofing (جعل)
 
اگرچه هیچ‌یک از آسیب‌پذیری‌های ترمیم‌شده توسط مجموعه‌اصلاحیه این ماه، «روز صفر» گزارش نشده اما حدود نیمی از آن‌ها از نوع RCE هستند.
 
از آسیب‌پذیری‌های قابل توجه این ماه می‌توان به موارد زیر اشاره کرد.
 
CVE-2023-29357 که ضعفی از نوع Elevation of Privilege در Microsoft SharePoint Server است که سوءاستفاده از آن مهاجمان با دسترسی شبکه‌ای به سرور را به‌نحوی قادر به سرقت اطلاعات اصالت‌سنجی کاربران با دسترسی مجاز به سرور می‌کند.
 
CVE-2023-29363 و CVE-2023-32014 و CVE-2023-32015 که سه آسیب‌پذیری از نوع RCE هستند. Windows Pragmatic General Multicast – به اختصار PGM – از آسیب‌پذیری‌های یاد شده، متأثر می‌شوند. در صورت استفاده از سرویس Windows Message Queuing در شبکه سازمان، سوءاستفاده از این آسیب‌پذیری‌ها می‌توانند مهاجم را قادر به اجرای کد مورد بالقوه مخرب بر روی دستگاه‌ها کند.
 
CVE-2023-33146 که ضعفی از نوع RCE در نرم‌افزار Microsoft Office است و به نظر می‌رسد با فراخوانی فایل‌های SketchUp دستکاری‌شده می‌تواند مورد سوءاستفاده قرار بگیرد.
 
یادآوری می‌‌شود با توجه به توقف عرضه اصلاحیه‌های امنیتی از سوی شرکت مایکروسافت برای سیستم‌های عامل از رده خارجی همچون ویندوز 7 و ریسک بالای ادامه استفاده از آنها، ارتقاء یا تغییر این سیستم‌های عامل، توصیه اکید می‌شود.
 

شرکت سیسکو در خرداد ماه در چندین نوبت اقدام به عرضه به‌روز‌رسانی‌های امنیتی برای برخی از محصولات خود کرد. این به‌روز‌رسانی‌ها، حدود ۱۵ آسیب‌پذیری را در محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت ۲ مورد از آن‌ها از نوع «بحرانی» و ۳ مورد نیز از نوع «بالا» گزارش شده است.
 
آسیب‌پذیری‌هایی همچون تزریق کد از طریق سایت، تزریق فرمان و افشای اطلاعات از جمله مهمترین اشکالات مرتفع شده توسط به‌روزرسانی‌های جدید هستند. مهاجم می‌تواند از بعضی از این آسیب‌پذیری‌ها برای کنترل سیستم آسیب‌‌پذیر سوء‌استفاده کند.
 

در خرداد ماه، شرکت ترلیکس، اقدام به انتشار TIE Server 4.0.0 Hotfix 3 کرد.
 

در ماهی که گذشت شرکت بیت‌دیفندر نسخه‌های زیر را منتشر کرد:
 
 

GravityZone Control Center Version 6.41.0-1
Bitdefender Endpoint Security Tools for Windows Version 7.9.2.290
Bitdefender Endpoint Security Tools for Mac
Security Server Multi-Platform Version 6.2.15.153

 

در ماهی که گذشت شرکت فورتی‌نت با انتشار چندین توصیه‌نامه‌‌ از ترمیم ضعف‌های امنیتی در محصولات خود خبر داد. مواردی نیز از سوءاستفاده مهاجمان از برخی از آسیب‌پذیری‌های کشف‌شده در محصولات این شرکت گزارش شد.
 

شرکت وی‌ام‌ور در ماهی که گذشت با انتشار توصیه‌نامه‌های‌ امنیتی نسبت به ترمیم چندین ضعف امنیتی در محصولات زیر اقدام کرد:

VMware vCenter Server  VMSA-2023-0014
VMware Tools  VMSA-2023-0013
VMware Aria Operations  VMSA-2023-0012.2
VMware Workspace ONE Access and Identity Manager  VMSA-2023-0011
NSX-T  VMSA-2023-0010

 
شدت برخی آسیب‌پذیری‌های ترمیم‌شده بحرانی گزارش شده است.
 
آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA)، ضعف‌های امنیتی زیر را به «فهرست آسیب‌پذیری‌های در حال سوءاستفاده» خود اضافه کرد:
 

    CVE-2023-32434    Apple Multiple Products Integer Overflow Vulnerability
    CVE-2023-32435    Apple iOS and iPadOS WebKit Memory Corruption Vulnerability
    CVE-2023-32439    Apple Multiple Products WebKit Type Confusion Vulnerability
    CVE-2023-20867    VMware Tools Authentication Bypass Vulnerability
    CVE-2023-27992    Zyxel Multiple NAS Devices Command Injection Vulnerability
    CVE-2023-20887    Vmware Aria Operations for Networks Command Injection Vulnerability
    CVE-2020-35730    Roundcube Webmail Cross-Site Scripting (XSS) Vulnerability
    CVE-2020-12641    Roundcube Webmail Remote Code Execution Vulnerability
    CVE-2021-44026    Roundcube Webmail SQL Injection Vulnerability
    CVE-2016-9079    Mozilla Firefox, Firefox ESR, and Thunderbird Use-After-Free Vulnerability
    CVE-2016-0165    Microsoft Win32k Privilege Escalation Vulnerability
    CVE-2023-27997    Fortinet FortiOS and FortiProxy SSL-VPN Heap-Based Buffer Overflow Vulnerability
    CVE-2023-3079    Google Chromium V8 Type Confusion Vulnerability
    CVE-2023-33009    Zyxel Multiple Firewalls Buffer Overflow Vulnerability
    CVE-2023-33010    Zyxel Multiple Firewalls Buffer Overflow Vulnerability
    CVE-2023-34362    Progress MOVEit Transfer SQL Injection Vulnerability
    CVE-2023-28771    Zyxel Multiple Firewalls OS Command Injection Vulnerability
    CVE-2023-2868    Barracuda Networks ESG Appliance Improper Input Validation Vulnerability
    CVE-2023-32409    Apple Multiple Products WebKit Sandbox Escape Vulnerability
    CVE-2023-28204    Apple Multiple Products WebKit Out-of-Bounds Read Vulnerability
    CVE-2023-32373    Apple Multiple Products WebKit Use-After-Free Vulnerability