A Microsoft lançou nesta terça-feira (9) seu lote mensal de atualizações de segurança, conhecido como Patch Tuesday, corrigindo 56 vulnerabilidades do Windows. Entre elas, uma falha no Azure Artifactory que chegou a ser usada em um ataque que afetou várias empresas, incluindo Apple, PayPal, Shopify, Netflix, Tesla, Yelp, Uber e a própria Microsoft.
Rastreada como CVE-2021-24105, a vulnerabilidade foi descoberta depois que os pesquisadores o usaram em um ataque PoC contra os sistemas da Microsoft. O ataque consistiu em enviar malwares para repositórios de código aberto, incluindo PyPI, npm e RubyGems, que então foram distribuídos automaticamente para os aplicativos internos da empresa.
A vulnerabilidade de elevação de privilégio do Windows Win32k permite que um invasor ou programa malicioso eleve seus privilégios para privilégios administrativos. Ao contrário de ataques tradicionais – muitos dos quais dependem de táticas de engenharia social – este ataque de cadeia de suprimentos em particular é mais sofisticado, pois não precisa de ação da vítima.
Para concretizar a invasão, a vítima recebe automaticamente os pacotes maliciosos com o mesmo nome de pacotes internos usados por aplicativos legítimos. Detalhes sobre os ataques em que esse bug foi usado não foram revelados. A Microsoft creditou a três pesquisadores da empresa de segurança chinesa DBAPPSecurity a descoberta dos ataques.
Além do CVE-2021-24105, outros cinco bugs de produtos da Microsoft tiveram seus detalhes postados online antes dos patches. Felizmente, nenhum deles foi explorado por hackers. Do total de patches, onze foram classificadas como “críticas”, duas como “moderadas” e 43 como “importantes”.
De todos os sistemas Windows, as instâncias do Windows Server são as mais suscetíveis a ataques, já que muitas são usadas para hospedar servidores web ou infraestrutura em nuvem e quase certamente estão conectadas à Internet o tempo todo.
“É essencial que os clientes apliquem as atualizações do Windows para resolver essas vulnerabilidades o mais rápido possível”, disse a Microsoft.
Via: Bleeping Computer/ZDNet
Tags: