微软修复 Internet Explorer 中被网络犯罪分子滥用一年多的零日漏洞

微软修复 Internet Explorer 中被网络犯罪分子滥用一年多的零日漏洞 微软最新的"星期二补丁"更新包括对 Internet Explorer 浏览器引擎零日漏洞的修复。该漏洞被追踪为 CVE-2024-38112，自 2023 年 1 月以来一直被未知犯罪分子利用，诱骗用户在本地未受保护的机器上运行恶意代码。CVE-2024-38112 漏洞最早由 Check Point 研究人员发现，微软将其描述为 Windows MSHTML 平台欺骗漏洞。MSHTML 也被称为 Trident，是 Internet Explorer 使用的专有浏览器引擎。Windows 11 不再使用该浏览器，但上述引擎仍包含在操作系统中，微软计划至少在 2029 年前支持该引擎。CVE-2024-38112 的严重性评级为 7.0（满分 10 分），攻击者需要采取额外行动才能确保成功利用该漏洞。微软警告说，威胁行为者必须诱使受害者下载并执行恶意文件，而用户成为攻击目标、受到攻击和实际被入侵似乎已经有一年多的时间了。Check Point分析师警告说，IE引擎不安全且已过时，针对CVE-2024-38112设计的零日漏洞利用者使用了一些巧妙的技巧来伪装他们实际想要达到的目的。犯罪分子使用一个恶意 URL 链接，看似打开一个 PDF 文档，然后在 Internet Explorer 模式下打开 Edge 浏览器 (msedge.exe)。在调用 MSHTML 后，犯罪分子本可以利用一些与 IE 相关的零日漏洞，立即获得远程代码执行权限。然而，Check Point 发现的恶意样本并不包括 IE 引擎中任何以前未知的缺陷。相反，他们使用了另一种新奇的伎俩，打开一个对话框，要求用户保存一个 PDF 文件。PDF扩展名被用来伪装恶意HTA文件，这是一个从HTML文档中调用的可执行程序，通过一个名为Microsoft HTML Application Host (mshta.exe)的工具在Windows上运行。Check Point说，事实上，CVE-2024-38112攻击的总体目标是让受害者相信他们正在打开一个PDF文件。该公司发现并散列了该活动中使用的六个恶意.url文件，建议Windows用户尽快安装最新的"补丁星期二"更新。 ... PC版： 手机版：

Realtek芯片存在漏洞,允许远程UDP包执行任意指令，即将出现在野利用

Realtek芯片存在漏洞,允许远程UDP包执行任意指令，即将出现在野利用 漏洞ID:CVE-2022-27255 版本： rtl819x-eCos-v0.x 系列rtl819x-eCos-v1.x 系列 Realtek AP-Router SDK 威胁分数:9.8 漏洞由阿根廷网络安全公司 Faraday Security 的研究人员在 Realtek 的开源 eCos 操作系统 SDK 中发现 该漏洞允许重写 SDP 数据的 SIP ALG 函数存在基于堆栈的缓冲区溢出,严重分数为9.8 远程攻击者可以使用带有恶意 SDP 数据的特制 SIP 数据包任意执行代码，这个过程完全无需身份验证。此外，攻击者还可以通过 WAN 接口利用漏洞 [包括开启拒绝外部访问] 攻击者只需有漏洞设备的外部 IP 地址，就可以 利用CVE-2022-27255 漏洞，不需要与用户交互 攻击者可以使用单个 UDP 数据包到任意端口来利用该漏洞； 此漏洞可能对路由器影响最大，但一些基于 Realtek SDK 的物联网设备也可能受到影响 [包括软路由] 该漏洞允许攻击者执行以下操作: 导致设备崩溃，执行任意代码，建立持久性的后门，改变网络流量的路线，拦截网络流量

研究人员发现一个新的 Linux 内核提权漏洞

研究人员发现一个新的 Linux 内核提权漏洞 Linux内核中的一个容易被利用的漏洞（CVE-2022-0847）可以被本地无权用户利用，通过利用已经公开的漏洞在脆弱的系统上获得root权限。 由安全研究员Max Kellermann发现的这个缺陷他称之为Dirty Pipe，因为它与Dirty Cow缺陷相似已经在Linux内核和Android内核中打了补丁。受影响的Linux发行版正在推送带有该补丁的安全更新。... Kellerman写的关于他如何发现该漏洞的文章是安全研究人员的一个重要信息来源，包括他的PoC漏洞。其他研究人员也想出了一些变化。 这个漏洞显然很容易被利用，尽管它不能被远程利用攻击者需要事先访问一个有漏洞的主机来部署利用程序。尽管如此，如果Dirty Cow缺陷被攻击者在实际利用，你可以肯定他们也会利用Dirty Pipe。

7-Zip 发现一个提权漏洞

7-Zip 发现一个提权漏洞 开源压缩程序7-Zip中发现了一个安全漏洞。该漏洞可能导致攻击者被赋予更高的权利。 该漏洞被称为CVE-2022-29072。正如Deskmodder所写，该漏洞影响到7-Zip的构建，直到目前的21.07版本。攻击者可以选择操纵输入，从而获得更高权限。据说还有可能通过网络执行输入，从而利用这个漏洞。目前还不清楚是否已经存在漏洞并在实践中使用。… 通常，7-Zip的更新很快就会推出，它将消除这个错误并调整帮助文件。。 winfuture

谷歌正在为其Chrome浏览器的两个漏洞发布修复程序，包括一个已知正在被利用的漏洞

谷歌正在为其Chrome浏览器的两个漏洞发布修复程序，包括一个已知正在被利用的漏洞 该公司本周发布的紧急更新影响到其Chrome浏览器的近30亿用户，以及那些使用其他基于Chromium的浏览器，如微软Edge、Brave和Vivaldi。 这是谷歌今年不得不为Chrome浏览器发布的第三个此类紧急更新。 其中一个缺陷是一个被追踪为CVE-2022-1364的类型混淆漏洞，这是一个高严重性的零日漏洞，正被攻击者积极滥用。在类型混淆漏洞中，程序将使用一种类型分配资源，如指针或对象，但随后将使用另一种不兼容的类型访问该资源。在某些语言中，如C和C++，该漏洞会导致越界内存访问。 这种不兼容会导致浏览器崩溃或引发逻辑错误。它有可能被利用来执行任意代码。 theregister

微软了解 Microsoft Teams 的漏洞存在，但并不打算修复它

微软了解 Microsoft Teams 的漏洞存在，但并不打算修复它 据安全公司Vectra称， Microsoft Teams以未加密的明文模式存储身份验证令牌，从而允许攻击者潜在地控制组织内的通信。该漏洞影响了使用微软 Electron 框架构建的 Windows、Mac 和 Linux 桌面应用程序。微软已经意识到了这个问题，但表示没有计划在短期内进行修复，因为漏洞利用还需要网络访问。 根据 Vectra 的说法，具有本地或远程系统访问权限的黑客可以窃取当前在线的任何 Teams 用户的凭据，然后即使在他们离线时也可以冒充他们。他们还可以通过与 Teams 相关的应用程序（例如 Skype 或 Outlook）假装是用户，同时绕过通常需要的多因素身份验证 (MFA)。