Microsoft, 12월 업데이트에서 47개 패치 출시 – 보안

Microsoft는 가벼운 “패치 화요일” 워크로드로 2023년을 마감했습니다. 47개 패치 중 단 2개 패치만이 CVSS(Common Vulnerability Scoring System) 등급이 9 이상이었습니다.

이전에 취약점 중 하나만 공개되었으며 실제로 악용된 취약점은 없습니다.

첫 번째 치명적인 약점은, CVE-2023-36019CVSS 점수는 9.6입니다.

이는 Microsoft Power Platform 커넥터의 OAuth 2.0 구현에 영향을 미치는 스푸핑 취약점입니다.

버그는 다음에 따라 각 커넥터의 URI를 업데이트하여 수정되었습니다. 여기에 표시된 지침.

두 번째 치명적인 취약점 CVE-2023-35618CVSS 점수도 9.6점을 받았습니다.
이는 Edge의 Chromium 샌드박스에서 탈출하여 권한 상승으로 이어집니다.

마이크로소프트는 “웹 공격 시나리오에서 공격자는 취약점을 악용하도록 설계된 특수 제작된 파일이 포함된 웹사이트를 호스팅하거나 사용자 생성 콘텐츠를 허용하거나 호스팅하는 손상된 웹사이트를 활용할 수 있다”고 밝혔다.

공격자는 “일반적으로 이메일이나 인스턴트 메시징 메시지의 미끼를 통해 사용자가 링크를 클릭하도록 유도한 다음 사용자가 특수 제작된 파일을 열도록 유도”해야 합니다.

복잡한 공격 시나리오로 인해 Microsoft는 CVSS 점수에도 불구하고 이 취약점을 “보통”으로 설명했습니다.

이전에 공개된 오류는 처음 발생한 AMD 문제입니다. 8월에 공개됐는데 CVSS 점수는 5.5입니다.

“Zen 2 CPU의 레지스터는 0에 올바르게 기록되지 않을 수 있습니다. 이로 인해 다른 프로세스 및/또는 스레드의 데이터가 YMM 레지스터에 저장될 수 있으며, 이로 인해 공격자가 잠재적으로 민감한 정보에 액세스할 수 있습니다.”라고 AMD 보고서는 설명했습니다. .