В апреле Apple, Microsoft, Google и другие технологические гиганты исправили уязвимости в своих продуктах, многие из которых уже использовались в реальных атаках. Также недостатки были исправлены в браузере Firefox и корпоративном ПО SolarWinds и Oracle.
Apple
Apple выпустила обновление iOS 16.4.1 с исправлениями двух эксплуатируемых уязвимостей.
Об уязвимостях сообщила команда Google TAG и Amnesty International’s Security Lab. По словам экспертов, недостатки могли быть использованы для внедрения шпионского ПО.
Microsoft
Microsoft также выпустила срочное исправление в рамках вторника исправлений в апреле.
Были исправлены:
Во вторник исправлений Microsoft исправила в общей сложности 98 уязвимостей, поэтому стоит проверить рекомендации и обновить их как можно скорее.
Google Android
Самая опасная ошибка, которая была исправлена в Android , это критическая уязвимость в системном компоненте, приводящая к удаленному выполнению кода без дополнительных привилегий и взаимодействия с пользователем.
Также в апреле корпорация Google исправила несколько недостатков для Pixel , в том числе ошибку повышения привилегий в ядре CVE-2023-0266 (CVSS: 7.8). Апрельское обновление для Android доступно для устройств Google, а также для моделей серии Samsung Galaxy S, Fold и Flip.
Google Chrome
В начале апреля Google исправила 16 уязвимостей в браузере Chrome. Исправленные недостатки включают:
Mozilla Firefox
Компания Firefox исправила проблемы в Firefox 112, Firefox и Firefox Focus для Android. Среди исправленных недостатков:
SolarWinds
IT-компания SolarWinds устранила в своих системах две опасные проблемы, которые могли привести к выполнению кода и повышению привилегий.
Oracle
Апрель был важным месяцем для производителя корпоративного ПО Oracle, который выпустил исправления для 433 уязвимостей, 70 из которых являются критическими. К ним относится уязвимость в Oracle GoldenGate CVE-2022-23457 (CVSS: 9.8). По словам Oracle, эту проблему можно использовать удаленно без аутентификации.
Апрельские исправления также содержат 6 новых исправлений ошибок в Oracle Commerce, которые также можно использовать удаленно без аутентификации.
Cisco
Cisco выпустила исправления для уязвимостей, которые могут позволить локальному злоумышленнику, прошедшему проверку подлинности, выйти за пределы оболочки и получить root-привилегии в базовой операционной системе.
Среди исправленных недостатков - уязвимость внедрения команд CVE-2023-20121 (CVSS: 6.7), затрагивающая Cisco EPNM, Cisco ISE и инфраструктуру Cisco Prime. Злоумышленник может воспользоваться уязвимостью, войдя на устройство и выполнив специально созданную CLI-команду для получения root-привилегий.
SAP
SAP выпустила 19 новых бюллетеней по безопасности , которые описывают, помимо прочих, следующие уязвимости:
В зависимости от авторизации олицетворяемого пользователя злоумышленник может полностью скомпрометировать конфиденциальность, целостность и доступность системы.