吳明宜微軟昨日發佈 6 月份 Patch Tuesday，共修補 78 項漏洞，包括 38 項遠端程式碼執行 (RCE) 漏洞。
78 項漏洞中，包括 17 個權限升級漏洞 (EoP) 、 3 個安全功能繞過漏洞、 32 個 RCE 漏洞、 5 個資訊洩漏漏洞，10 個阻斷服務漏洞及 10 個偽裝漏洞，以及 1 個 Chromium-based Edge 漏洞。本次僅有 6 個重大漏洞，未修補任何零時差漏洞，可說是 Windows 管理員稍稍放輕鬆的一個月。
其中較重大漏洞包括 SharePoint Server 權限升級漏洞 CVE-2023-29357，它能讓有基本權限的攻擊者偽造 JWT (JSON Web Token) 驗證令牌，再升級取得其他使用者、包括管理員權限，以執行網路攻擊。有趣的是，雖然本月沒有修補零時差漏洞，但微軟卻說這個漏洞「已遭積極濫用」，而且沒有提供任何濫用方法的說明。本漏洞是由 StarLabs SG 研究人員 Jang 通報。
其次是 CVE-2023-32031，為 Exchange Server RCE 漏洞，可讓經過驗證的攻擊者鎖定某些帳號執行任意或遠端程式碼。他可透過網路呼叫，觸發目標帳號下的惡意程式碼。
微軟另外還發佈數次 Office 更新，以修補可利用惡意 Excel 及 OneNot 文件執行遠端程式碼的漏洞。這些漏洞包括 CVE-2023-33133(Excel) 、 CVE-2023-33137(Excel) 、 CVE-2023-33140(OneNote) 、 CVE-2023-33131(Outlook) 。後二項漏洞需要使用點擊惡意連結或電子郵件附件。
本周還有其他廠商修補漏洞。包括思科釋出 Cisco AnyConnect 等產品安全更新、 Fortinet 修補 FortiGate RCE 漏洞、 Google 發佈 Chrome 零時差漏洞修補程式及 Android 6 月安全更新。 MOVEit 接連修補 Clop 勒索軟體濫用的 CVE-2023-34362 及第二項漏洞 CVE-2023-35036 。 SAP 發佈 6 月 Patch Day 安全更新、 VMWare 則緊急修補 ESXi 中已遭濫用以竊取 VM 資料的漏洞 CVE-2023-20867 。