Microsoft устраняет 10 уязвимостей нулевого дня в августовском обновлении в Windows 10 и Windows 11

Последний выпуск Microsoft Patch Tuesday устраняет 89 уязвимостей в системе безопасности различных продуктов, включая Windows 10 и Windows 11. Среди этих уязвимостей десять классифицируются как уязвимости нулевого дня, а шесть уже активно используются. Кроме того, подробности о трех других уязвимостях были публично известны до выпуска.

Обновления, обозначенные как KB5041585 для Windows 11 и KB5041580 для Windows 10, направлены на устранение пробелов в системе безопасности, некоторые из которых являются критическими. Из десяти уязвимостей нулевого дня несколько связаны со значительными недостатками в системе безопасности, включая ошибку скриптового движка в Microsoft Edge, повышение привилегий в ядре Windows и еще одно повышение привилегий в системе управления питанием Windows. Хотя Microsoft подтверждает активное использование шести уязвимостей нулевого дня, конкретные методы использования не разглашаются.

Из почти 90 устраненных уязвимостей восемь относятся к категории критических. Обновление также устраняет 28 ошибок удаленного выполнения кода и 36 проблем с повышением привилегий. Исправление также включает четыре уязвимости нулевого дня, о которых доступна общедоступная информация, но не наблюдается активного использования. Примечательно, что две из них связаны с проблемой безопасности, известной как Windows Downdate, которая недавно была отмечена на конференции BlackHat по безопасности. Эта уязвимость позволяет выполнять откат некоторых компонентов Windows до более ранних, потенциально менее безопасных версий. Одна из таких уязвимостей отслеживается как CVE-2024-38202, для которой Microsoft все еще разрабатывает стратегию смягчения последствий.

Подробная разбивка всех исправленных уязвимостей включает:

• 36 уязвимостей повышения привилегий (Elevation of Privilege);
• 4 уязвимости обхода функций безопасности (Security Feature Bypass);
• 28 уязвимостей удалённого выполнения кода (Remote Code Execution, RCE);
• 8 уязвимостей раскрытия информации (Information Disclosure);
• 6 уязвимостей отказа в обслуживании (Denial of Service, DoS);
• 7 уязвимостей спуфинга (Spoofing).