A Microsoft divulgou na terça-feira (14/5) atualizações de segurança que corrigem 78 vulnerabilidades em sua linha de softwares, sendo 11 classificadas como críticas, 66 como importantes e uma de baixa gravidade. Entre elas, destacam-se cinco falhas zero-day que estavam sendo exploradas ativamente no ambiente real. As vulnerabilidades corrigidas abrangem execuções remotas de código, elevação de privilégios e divulgação de informações sensíveis, afetando diversas áreas do sistema operacional e aplicativos.
As cinco falhas zero-day envolvem brechas no mecanismo de scripting, na biblioteca DWM Core, no driver CLFS e no driver Ancillary Function para WinSock, permitindo desde execução arbitrária de código até elevação de privilégios. Três dessas falhas foram identificadas pela equipe interna da Microsoft, enquanto as demais foram descobertas por pesquisadores externos. A agência americana de segurança cibernética (CISA) incluiu todas essas vulnerabilidades em seu catálogo de riscos conhecidos, determinando que órgãos federais apliquem as correções até 3 de junho de 2025.
Além dessas cinco falhas exploradas, o pacote do Patch Tuesday trouxe correção para uma vulnerabilidade de elevação de privilégios no Microsoft Defender for Endpoint para Linux, causada por um script em Python que pode executar binários Java de local não confiável, permitindo ao atacante local obter privilégios elevados. Outra falha relevante é um problema de spoofing no Microsoft Defender for Identity, capaz de permitir a coleta de credenciais NTLM a partir da rede local.
A atualização também destaca o patch para uma vulnerabilidade considerada de severidade máxima (CVSS 10.0) no Azure DevOps Server, que possibilita a elevação de privilégios por atacantes não autorizados via rede. Segundo a Microsoft, a correção já foi aplicada nos serviços em nuvem da empresa, não sendo necessária nenhuma ação adicional pelos clientes.
Este post foi traduzido e resumido a partir de sua versão original com o uso de IA, com revisão humana.
Com informações de The Hacker News
