Microsoft janeiro de 2024 Patch Tuesday corrige 49 falhas, 12 bugs RCE

Apenas duas vulnerabilidades foram classificadas como críticas, sendo uma delas um Windows Kerberos Security Feature Bypass e a outra um Hyper-V RCE. 

O número de bugs em cada categoria de vulnerabilidade está listado abaixo:

• 10 Vulnerabilidades de elevação de privilégio
• 7 Vulnerabilidades de desvio de recursos de segurança
• 12 Vulnerabilidades de execução remota de código
• 11 Vulnerabilidades de divulgação de informações
• 6 Vulnerabilidades de negação de serviço
• 3 vulnerabilidades de falsificação 

A contagem total de 49 falhas não inclui 4 falhas do Microsoft Edge corrigidas em 5 de janeiro.

Para saber mais sobre as atualizações não relacionadas à segurança lançadas hoje, leia nossos artigos dedicados sobre a nova atualização cumulativa KB5034123 do Windows 11 e Atualização KB5034122 do Windows 10.

As falhas interessantes deste mês

Embora não tenha havido vulnerabilidades ativamente exploradas ou divulgadas publicamente este mês, algumas falhas são mais interessantes do que outras.

A Microsoft corrige uma vulnerabilidade de execução remota de código do Office rastreada como CVE-2024-20677 que permite que agentes de ameaças criem documentos do Office criados mal-intencionados com recursos incorporados Arquivos de modelo FBX 3D para executar execução remota de código.

“Existe uma vulnerabilidade de segurança no FBX que pode levar à execução remota de código. Para mitigar esta vulnerabilidade, a capacidade de inserir arquivos FBX foi desativada no Word, Excel, PowerPoint e Outlook para Windows e Mac,” explica o boletim de segurança da Microsoft.

“As versões do Office que tinham esse recurso ativado não terão mais acesso a ele. Isso inclui Office 2019, Office 2021, Office LTSC para Mac 2021 e Microsoft 365.”

“Os modelos 3D em documentos do Office que foram inseridos anteriormente a partir de um arquivo FBX continuarão funcionando conforme esperado, a menos que a opção Vincular ao arquivo tenha sido escolhida no momento da inserção.”

Um bug crítico do Windows Kerberos identificado como CVE-2024-20674 também foi corrigido hoje, permitindo que um invasor contorne o recurso de autenticação.< /span>

“Um invasor não autenticado poderia explorar esta vulnerabilidade estabelecendo um ataque machine-in-the-middle (MITM) ou outra técnica de falsificação de rede local e, em seguida, enviando uma mensagem Kerberos maliciosa para a máquina cliente vítima para se falsificar como o servidor de autenticação Kerberos, ” lê um boletim de suporte.

Atualizações recentes de outras empresas

Outros fornecedores que lançaram atualizações ou avisos em janeiro de 2023 incluem:

• A Cisco lançou atualizações de segurança para uma falha de elevação de privilégios no Cisco Identity Services Engine.
• O Google lançou as atualizações de segurança do Android de janeiro de 2024.
• A Ivanti lançou atualizações de segurança para uma vulnerabilidade crítica de execução remota de código (RCE) em seu software de gerenciamento de endpoints (EPM).
• Um novo ataque KyberSlash coloca vários projetos de criptografia Quantum em risco.
• A SAP lançou suas atualizações Patch Day de janeiro de 2024 .

Atualizações de segurança do Patch Tuesday de janeiro de 2024

Abaixo está a lista completa de vulnerabilidades resolvidas nas atualizações do Patch Tuesday de janeiro de 2023.

Para acessar a descrição completa de cada vulnerabilidade e dos sistemas que ela afeta, você pode visualizar o relatório completo aqui.