Microsoft: il Patch Tuesday di settembre risolve 59 bug di sicurezza, 2 sfruttati attivamente in campagne attive

Il Patch Tuesday di settembre 2023 di Microsoft, ha rilasciato aggiornamenti di sicurezza per 59 difetti, tra cui due vulnerabilità zero-day sfruttate attivamente.

Microsoft ha inoltre condiviso le correzioni per due difetti nei prodotti non Microsoft, Electron e Autodesk, e quattro vulnerabilità di Microsoft Edge (Chromium) il 7 settembre.

Microsoft classifica una vulnerabilità come zero-day se viene divulgata pubblicamente o sfruttata attivamente senza che sia disponibile una soluzione ufficiale. Le due vulnerabilità zero-day attivamente sfruttate negli aggiornamenti di oggi sono:

• CVE-2023-36802  –  Microsoft ha risolto una vulnerabilità di elevazione dei privilegi locali sfruttata attivamente che consente agli aggressori di ottenere privilegi di SYSTEM. La falla è stata scoperta da Quan Jin(@jq0904) & ze0r con  DBAPPSecurity WeBin Lab,  Valentina Palmiotti con IBM X-Force, Microsoft Threat Intelligence e Microsoft Security Response Center.
• CVE-2023-36761  –  Microsoft ha risolto una vulnerabilità sfruttata attivamente che può essere utilizzata per rubare gli hash NTLM all’apertura di un documento, anche nel riquadro di anteprima. Questi hash NTLM possono essere violati o utilizzati negli attacchi NTLM Relay per ottenere l’accesso all’account.

Questo difetto è stato scoperto internamente dal gruppo Microsoft Threat Intelligence. Di seguito è riportato l’elenco completo delle vulnerabilità risolte negli aggiornamenti del Patch Tuesday di settembre 2023.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks