В минувшем декабре последний вторничный патч года содержал не слишком много исправлений, но на этот раз Microsoft поработала более масштабно. В последний раз обновления получили системы Windows 7 и Windows 8. Не забыты и более современные Windows 10 и Windows 11, так что в общей сумме выпущено исправление 98 уязвимостей, включая одну потенциально опасную уязвимость нулевого дня.

Кроме Windows, обновления получили платформа .NET Core, Azure, Microsoft Office, Exchange, Visual Studio Code и другие. Среди исправленных компонентов Windows есть BitLocker, диспетчер загрузки операционной системы, криптографические службы, ядро, компоненты диспетчера очереди печати и многое другое.

Среди 98 исправлений 11 были названы критическими. Microsoft полагает, что они дают возможность производить дистанционное выполнение кода, обходя механизмы безопасности и повышая привилегии пользователя до системного уровня.

39 уязвимости связаны с несанкционированным получением прав, 4 уязвимости с обходом функций безопасности, 33 уязвимости с удалённым выполнением кода, 10 уязвимостей с раскрытием информации, 10 уязвимостей отказов в обслуживании и 2 уязвимости спуфинга.

Единственная ошибка нулевого дня была обнаружена исследователями из компании Avast и уже применялась хакерами и киберпреступниками. Это уязвимость Windows Advanced Local Procedure Call (ALPC) для повышения привилегий. Она известна как CVE-2023-21674 и может позволить выйти из песочницы браузера. Успешно применивший её хакер способен получить привилегии системного уровня. Другая уязвимость Windows SMB (CVE-2023-21549) была публично раскрыта, но свидетельств её реального использования нет.

Обновления за январь распространяются через Центр обновления Windows, системы управления обновлениями вроде WSUS, и доступны для скачивания из каталога обновлений Microsoft. В число других компаний, выпускающие свои обновления безопасности одновременно с Microsoft, входят Adobe, Cisco, Citrix, Fortinet, Intel, Sap и Synology, сообщает Techspot.