Bugün, Microsoft'un Kasım 2023 Salı günü, toplam 58 kusur ve beş sıfır günlük güvenlik açığı için güvenlik güncellemeleri içeren.
On dört uzaktan kod yürütme (RCE) hataları düzeltilirken, Microsoft yalnızca kritik olarak derecelendirildi. Bugün sabit olan üç kritik kusur, bir Azure bilgi açıklama hatası, Windows İnternet Bağlantı Paylaşımında (ICS) bir RCE ve sistem ayrıcalıklarıyla ana bilgisayardaki programların yürütülmesine izin veren bir hiper-V kaçış kusurudur.
Her güvenlik açığı kategorisindeki hata sayısı aşağıda listelenmiştir:
58 kusurun toplam sayısı, bu ayın başlarında yayınlanan 5 Mariner güvenlik güncellemesi ve 20 Microsoft Edge Güvenlik güncellemesi içermiyor.
Bugün yayınlanan güvenlik dışı güncellemeler hakkında daha fazla bilgi edinmek için, yeni Windows 11 KB5032190 Kümülatif Güncelleme ve Windows 10 KB5032189 Kümülatif Güncelleme ile ilgili özel makalelerimizi inceleyebilirsiniz.
Bu ay Salı günü Yama Beş sıfır gün güvenlik açığını düzeltirken, üçü saldırıdan yararlandı ve üçü halka açık olarak açıklandı.
Microsoft, herhangi bir resmi düzeltme olmadan herkese açık olarak ifşa edilirse veya aktif olarak kullanılırsa, bir güvenlik açığını sıfır gün olarak sınıflandırır.
Bugünün güncellemelerindeki aktif olarak sömürülen üç sıfır günlük güvenlik açıkları:
CVE-2023-36036-Windows Cloud Files Mini Filtre Sürücüsü Ayrıcalık Güvenlik Açığı Yüksekliği
Microsoft, aktif olarak sömürülen bir Windows Cloud Files Mini Filtresi, ayrıcalık hatalarının yükselmesini düzeltti.
Microsoft, "Bu güvenlik açığını başarıyla kullanan bir saldırgan, sistem ayrıcalıkları kazanabilir."
Kusurun saldırılarda veya hangi tehdit oyuncusu tarafından istismar edildiği bilinmemektedir.
Kusur, Microsoft Tehdit İstihbaratı Microsoft Güvenlik Yanıt Merkezi tarafından dahili olarak keşfedildi.
CVE-2023-36033-Windows DWM Çekirdek Kütüphanesi Ayrıcalık Güvenlik Açığı Yüksekliği
Microsoft, ayrıcalıkları sisteme yükseltmek için kullanılabilecek aktif olarak sömürülen ve kamuya açıklanmış bir Windows DWM çekirdek kitaplığı güvenlik açığını düzeltti.
Microsoft, "Bu güvenlik açığını başarıyla kullanan bir saldırgan, sistem ayrıcalıkları kazanabilir."
Microsoft, kusurun Quan Jin (@JQ0904) tarafından DBAppSecurity Webin Lab ile keşfedildiğini, ancak saldırılarda nasıl kullanıldıklarına dair ayrıntıları paylaşmadığını söylüyor.
CVE-2023-36025-Windows SmartScreen Güvenlik Özelliği Bypass Güvenlik Açığı
Microsoft, kötü niyetli bir internet kısayolunun güvenlik kontrollerini ve uyarılarını atlamasına izin veren aktif olarak sömürülen Windows akıllı ekran kusurunu düzeltti.
Microsoft, "Saldırgan Windows Defender SmartScreen kontrollerini ve bunlarla ilişkili istemlerini atlayabilir."
Microsoft, "Kullanıcının özel hazırlanmış bir İnternet kısayolu (.URL) veya saldırgan tarafından tehlikeye atılacak bir internet kısayol dosyasına işaret eden bir köprü tıklaması gerekir."
Microsoft, kusurun Will Metcalf (Splunk), Microsoft Tehdit İstihbaratı ve Microsoft Office ürün grubu güvenlik ekibi tarafından keşfedildiğini söylüyor.
BleepingComputer, nasıl sömürüldüğünü öğrenmek için Splunk ile temasa geçti.
Buna ek olarak, Microsoft, diğer iki kamuoyu açıkladığını, 'CVE-2023-36413-Microsoft Office Güvenlik Özelliği Bypass güvenlik açığı' ve 'CVE-2023-36038-ASP.NET Core Hizmet Güvenlik Açığı Reddet' olduğunu söylüyor, Salı günü bugünkü yamanın bir parçası olarak da düzeltildi.
Ancak Microsoft, saldırılarda aktif olarak sömürülmediklerini söylüyor.
Kasım 2023'te güncellemeler veya tavsiyeler yayınlayan diğer satıcılar şunları içerir:
Aşağıda, Kasım 2023 Yaması Salı güncellemelerinde çözülmüş güvenlik açıklarının tam listesi bulunmaktadır.
Her güvenlik açığının ve etkilediği sistemlerin tam açıklamasına erişmek için raporun tamamını buradan görüntüleyebilirsiniz.
Microsoft Ekim 2023 Patch Salı 3 sıfır gün, 104 kusur düzeltiyor
Windows 10 KB5032189 GÜNCELLEME 11 Geliştirme ile yayınlandı
Windows 10 KB5031356 Güncellemesi 25 iyileştirme ile yayınlandı
Windows 11 KB5031354 Kümülatif Güncelleme Yeni özelliklerle yayınlandı
Windows 11 KB5032190 Güncellemesi, Moment 4 Özellikleri Herkes İçin Sağlıyor
Kaynak: Bleeping Computer