تحديثات برامج الصيف تأتي بسرعة كبيرة ، حيث أصدرت Apple و Google و Microsoft تصحيحات متعددة لعيوب أمنية خطيرة في يونيو. كانت شركات برامج المؤسسات مشغولة أيضًا ، حيث تم إصدار إصلاحات للثغرات المخيفة في منتجات VMWare و Cisco و Fortinet و Progress Software MOVEit.
يتم استخدام عدد كبير من الأخطاء الأمنية التي تم سحقها خلال الشهر في هجمات واقعية ، لذلك اقرأ وتدوين الملاحظات وقم بتصحيح الأنظمة المتأثرة بأسرع ما يمكن.
تفاحة
في أعقاب إصدار iOS 16.5 ، شهد شهر يونيو إصدار ترقية iPhone للطوارئ ، iOS 16.5.1. يعمل آخر تحديث لـ iPhone على إصلاح الثغرات الأمنية في WebKit ، المحرك الذي يدعم Safari ، وفي النواة الموجودة في قلب نظام iOS.
قالت شركة آبل في صفحة الدعم الخاصة بها ، التي تم تتبعها كـ CVE-2023-32439 و CVE-2023-32434 ، إن كلا المشكلتين عبارة عن أخطاء في تنفيذ التعليمات البرمجية وتم استخدامهما في هجمات واقعية.
في حين أن التفاصيل حول العيوب التي تم استغلالها بالفعل محدودة ، إلا أن مجموعة كاسبيرسكي الأمنية مكشوف كيف تم استخدام مشكلة kernel لتنفيذ هجمات “iOS Triangulation” ضد موظفيها. مؤثرة لأنها لا تتطلب أي تفاعل من المستخدم ، تستخدم هجمات “النقرة الصفرية” رسالة iMessage غير مرئية مع مرفق ضار لتقديم برامج تجسس.
أصدرت Apple أيضًا نظام التشغيل iOS 15.7.7 لأجهزة iPhone القديمة التي تعمل على إصلاح مشكلات Kernel و WebKit ، بالإضافة إلى خطأ WebKit الثاني الذي تم تتبعه باسم CVE-2023-32435 – والذي تم الإبلاغ عنه أيضًا بواسطة Kaspersky كجزء من هجمات iOS Triangulation.
وفي الوقت نفسه ، أصدرت Apple Safari 16.5.1 و macOS Ventura 13.4.1 و macOS Monterey 12.6.7 و macOS Big Sur 11.7.8 و watchOS 9.5.2 و watchOS 8.8.1.
مايكروسوفت
يتضمن تصحيح منتصف يونيو من Microsoft تحديثات أمنية لـ 78 ثغرة أمنية ، بما في ذلك 28 خطأ في تنفيذ التعليمات البرمجية عن بُعد (RCE). في حين أن بعض المشكلات خطيرة ، إلا أنها أول يوم ثلاثاء من التصحيح منذ شهر مارس لا يتضمن أي عيوب تم استغلالها بالفعل.
تتضمن المشكلات الحرجة التي تم تصحيحها في تحديث يونيو CVE-2023-29357 ، وهي زيادة في ثغرة أمنية في الامتياز في Microsoft SharePoint Server بدرجة CVSS تبلغ 9.8. قالت Microsoft: “يمكن للمهاجم الذي حصل على حق الوصول إلى رموز مصادقة JWT المخادعة أن يستخدمها لتنفيذ هجوم على الشبكة يتجاوز المصادقة ويسمح لهم بالوصول إلى امتيازات مستخدم مصادق عليه”.
وأضافت: “المهاجم لا يحتاج إلى امتيازات ، ولا يحتاج المستخدم إلى تنفيذ أي إجراء”.
وفي الوقت نفسه ، تعد CVE-2023-32031 و CVE-2023-28310 ثغرات أمنية في تنفيذ التعليمات البرمجية عن بُعد في Microsoft Exchange Server والتي تتطلب مصادقة المهاجم لاستغلالها.
جوجل أندرويد
حان الوقت لتحديث جهاز Google Android الخاص بك ، حيث أصدرت الشركة العملاقة نشرة الأمن لشهر يونيو. أخطر مشكلة تم حلها من قبل Google هي ثغرة أمنية خطيرة في مكون النظام ، تم تتبعها كـ CVE-2023-21108 ، والتي قد تؤدي إلى RCE عبر Bluetooth دون الحاجة إلى امتيازات تنفيذ إضافية. عيب آخر في النظام تم تتبعه مثل CVE-2023-21130 وهو خطأ RCE تم تمييزه أيضًا على أنه خطير.
أحد العيوب التي تم تصحيحها في تحديث يونيو هو CVE-2022-22706 ، وهي ثغرة أمنية في مكونات Arm التي تم إصلاحها في عام 2022 بعد أن تم استخدامها بالفعل في الهجمات.
