Este mês de julho foi um mês de atualizações importantes, incluindo patches para vulnerabilidades já exploradas em produtos Microsoft e Google. Este mês também viu a primeira atualização do Apple iOS em oito semanas corrigindo dezenas de falhas de segurança em iPhones e iPads.
As vulnerabilidades de segurança também continuam atingindo os produtos corporativos, com os patches de julho lançados para software SAP, Cisco e Oracle. Aqui está o que você precisa saber sobre as vulnerabilidades corrigidas em julho.
Apple iOS 15.6
A Apple lançou o iOS e iPadOS 15.6 para corrigir 37 falhas de segurança, incluindo um problema no Apple File System (APFS) rastreado como CVE-2022-32832. Se explorada, a vulnerabilidade pode permitir que um aplicativo execute código com privilégios de kernel, de acordo com a Apple página de suportedando-lhe acesso profundo ao seu dispositivo.
Outros patches do iOS 15.6 corrigem vulnerabilidades no kernel e no mecanismo do navegador WebKit, bem como falhas no IOMobileFrameBuffer, Audio, iCloud Photo Library, ImageIO, Apple Neural Engine e GPU Drivers.
A Apple não está ciente de nenhuma das falhas corrigidas sendo usadas em ataques, mas algumas das vulnerabilidades são bastante sérias – especialmente aquelas que afetam o kernel no coração do sistema operacional. Também é possível que vulnerabilidades sejam encadeadas em ataques, portanto, certifique-se de atualizar o mais rápido possível.
Os patches do iOS 15.6 foram lançados ao lado watchOS 8.7, tvOS 15.6, macOS Monterey 12.5, macOS Big Sur 11.6.8e macOS Catalina 10.15.7 2022-005.
Google Chrome
Google lançado um patch de emergência para o navegador Chrome em julho, corrigindo quatro problemas, incluindo uma falha de dia zero que já foi explorada. Rastreado como CVE-2022-2294 e relatado pelos pesquisadores da Avast Threat Intelligence, a vulnerabilidade de corrupção de memória em WebRTC foi abusado para obter a execução do shellcode no processo de renderização do Chrome.
A falha foi usada em ataques direcionados contra usuários do Avast no Oriente Médio, incluindo jornalistas no Líbano, para entregar spyware chamado Língua do Diabo.
Com base no malware e nas táticas usadas para realizar o ataque, o Avast atributos o uso do zero-day do Chrome para Candiru uma empresa com sede em Israel que vende spyware para governos.
Microsoft
O Patch Tuesday de julho da Microsoft é grande, corrigindo 84 problemas de segurança Incluindo uma falha que já está sendo usada no mundo real ataques. A vulnerabilidade, CVE-2022-22047, é uma falha de escalonamento de privilégio local no servidor do Windows Client/Server Runtime Subsystem (CSRSS) e nas plataformas Windows do cliente, incluindo as versões mais recentes do Windows 11 e do Windows Server 2022. Um invasor capaz de explorar com sucesso a vulnerabilidade pode obter privilégios de sistema, de acordo com a Microsoft.
Dos 84 problemas corrigidos no Patch Tuesday de julho da Microsoft, 52 eram falhas de escalonamento de privilégios, quatro eram vulnerabilidades de desvio de recursos de segurança e 12 eram problemas de execução remota de código.
Os patches de segurança da Microsoft às vezes causam outros problemas, e a atualização de julho não foi diferente: após o lançamento, alguns usuários descobriram que os aplicativos de tempo de execução do MS Access não abriram. Felizmente, a empresa está lançando um fixar.
Google lançou julho atualizações para seu sistema operacional Android, incluindo uma correção para uma vulnerabilidade crítica de segurança no componente System que pode levar à execução remota de código sem a necessidade de privilégios adicionais.
O Google também corrigiu problemas sérios no kernel – o que poderia resultar na divulgação de informações – e na estrutura, o que poderia levar ao aumento de privilégios locais. Enquanto isso, patches específicos do fornecedor da MediaTek, Qualcomm e Unisoc estão disponíveis se o seu dispositivo estiver usando esses chips. Os dispositivos Samsung estão começando a receber o patch de julho, e o Google também lançado atualizações para a sua gama Pixel.
SEIVA
A fabricante de software SAP emitiu 27 notas de segurança novas e atualizadas como parte de sua Dia do Patch de Segurança de Julho, corrigindo várias vulnerabilidades de alta gravidade. Rastreado como CVE-2022-35228o problema mais sério é uma falha de divulgação de informações no console de gerenciamento central da plataforma Business Objects do fornecedor.
A vulnerabilidade permite que um invasor não autenticado obtenha informações de token pela rede, de acordo com a empresa de segurança Onapsis. “Felizmente, um ataque como esse exigiria que um usuário legítimo acessasse o aplicativo”, acrescenta a empresa. No entanto, ainda é importante corrigir o mais rápido possível.
Oracle
Oracle tem publicado 349 em sua Atualização de Patch Crítica de julho de 2022, incluindo correções para 230 falhas que podem ser exploradas remotamente.
A atualização do patch de abril da Oracle incluiu 520 correções de segurançaalguns dos quais endereçados ao CVE-2022-22965, também conhecido como Spring4Shell, uma falha de execução remota de código na estrutura de primavera. A atualização de julho da Oracle continua a resolver esse problema.