Apple, Google und MOVEit haben gerade schwerwiegende Sicherheitslücken gepatcht und andere


VMWare
Der Software-Riese VMWare hat Patches für Schwachstellen in seinem Aria Operations for Networks veröffentlicht, die bereits bei Angriffen eingesetzt werden. Der erste wird als CVE-2023-20887 verfolgt und ist mit einem CVSS-Wert von 9,8 als kritisch gekennzeichnet. "Ein böswilliger Akteur mit Netzwerkzugriff auf VMware Aria Operations for Networks kann möglicherweise einen Command-Injection-Angriff durchführen, der zu einer Remotecodeausführung führt", warnte VMWare in einem Advisory.

CVE-2023-20888 ist eine authentifizierte Deserialisierungs-Schwachstelle mit einem CVSS-Score von 9.1. CVE-2023-20889 ist eine Schwachstelle bei der Offenlegung von Informationen im wichtigen Schweregrad mit einem CVSS-Score von 8,8.


Später im Juni hat VMWare mehrere Probleme in seinem vCenter Server gepatcht. Die erste Schwachstelle, die als CVE-2023-20892 verfolgt wird, ist eine Heap-Überlauf-Schwachstelle, die es einem Angreifer ermöglichen könnte, Code auszuführen.

CVE-2023-20893 ist eine Use-after-free-Schwachstelle in der Implementierung des DCERPC-Protokolls, die es einem Angreifer ermöglichen könnte, beliebigen Code auf dem zugrunde liegenden Betriebssystem auszuführen.

CVE-2023-20894 ist eine Out-of-Bounds-Schreibschwachstelle mit einem CVSS-Score von 8,1, und CVE-2023-20895 ist ein Speicherbeschädigungsproblem, das es einem Angreifer ermöglichen könnte, die Authentifizierung zu umgehen.

Cisco
Cisco hat eine Schwachstelle im Client-Update-Prozess seiner AnyConnect Secure Mobility Client Software für Windows und Cisco Secure Client Software für Windows gepatcht. Der als CVE-2023-20178 verfolgte Fehler könnte es einem lokalen, authentifizierten Angreifer mit geringen Rechten ermöglichen, Code mit Systemrechten auszuführen. Der Fix ist besonders dringend, da der Sicherheitsforscher Filip Dragović kürzlich einen Proof-of-Concept-Exploit für die Schwachstelle veröffentlicht hat.

Ein weiterer bemerkenswerter Patch ists CVE-2023-20105, der einen CVSS-Score von 9,6 hat und als kritisch eingestuft wird. Der Fehler in der Cisco Expressway-Serie und dem Cisco TelePresence Video Communication Server kann es einem Angreifer ermöglichen, die Kennwörter eines beliebigen Benutzers auf dem System zu ändern, einschließlich eines administrativen Benutzers mit Lese- und Schreibzugriff, und sich dann als dieser auszugeben.

Fortinet
Die Sicherheitsfirma Fortinet hat im Juni eine Schwachstelle gepatcht, von der sie warnt, dass sie möglicherweise für Angriffe verwendet wird. Die als CVE-2023-27997 verfolgte Heap-basierte Pufferüberlauf-Schwachstelle kann es einem entfernten Angreifer ermöglichen, beliebigen Code oder Befehle über speziell gestaltete Anfragen auszuführen. Der Schweregrad des Fehlers spiegelt sich in seinem CVSS-Score von 9,8 wider, also stellen Sie sicher, dass Sie ihn so schnell wie möglich patchen.

SAP
Der Juni-Patchday von SAP enthält Korrekturen für eine Reihe von Fehlern, darunter zwei mit einem hohen Schweregrad. Zu den Patches gehört CVE-2021-42063, eine Cross-Site-Scripting-Schwachstelle in den SAP Knowledge Warehouse-Versionen 7.30, 7.31, 7.40, 7.50.

Der Fehler könnte es unbefugten Angreifern ermöglichen, XSS-Angriffe durchzuführen, die zur Offenlegung sensibler Daten führen könnten. "Diese Schwachstelle ermöglicht es einem Angreifer, Zugriff auf Benutzerebene zu erhalten und die Vertraulichkeit, Integrität und Verfügbarkeit der UI5 Varian Management-Anwendung zu gefährden", so das Sicherheitsunternehmen Onapsis.

https://www.wired.com/story/apple-google-moveit-security-patches-june-2023-critical-update/