本文擷取自資安人
微軟在2024年4月推出了重大的安全更新，共修復了149個漏洞，其中2個正在被惡意利用。
修復的漏洞中，有3項被評為「關鍵」級，142項被評為「重要」級，3項為「中度」，1項為「低度」。除了這149個漏洞外，微軟也於3月發布patch tuesday後另行修補了Edge瀏覽器的21個漏洞。
本月資安人員須特別注意兩個漏洞，根據外媒報導，這兩個漏洞已被攻擊者利用：
- CVE-2024-26234 (CVSS 6.7分) - 代理驅動程式欺騙漏洞（Proxy Driver Spoofing Vulnerability）
Sophos公司已發現一款惡意程式利用微軟的合法數位簽章來偽裝成正版軟體。該程式包含3proxy後門組件，可監控並攔截受感染系統的網路流量。Sophos 在野外發現了該後門的多個變體，最早可追溯到2023年1月5日。
- CVE-2024-29988 (CVSS 8.8分)- SmartScreen提示安全繞過漏洞
與CVE-2024-21412和CVE-2023-36025一樣，攻擊者可利用這個漏洞繞過Microsoft Defender SmartScreen的保護，誘使使用者執行惡意檔案。Zero Day Initiative表示已有證據顯示此漏洞正在被野外利用。
其他值得關注的漏洞
另一個重要的漏洞是CVE-2024-29990 (CVSS分數:9.0)，這是一個影響Microsoft Azure Kubernetes Service保密容器的特權提升漏洞，未經身份驗證的攻擊者可利用它來竊取憑證。此次更新還修復了68個遠端程式碼執行、31個權限提升、26個安全繞過以及6個拒絕服務漏洞。值得注意的是，有24個安全繞過漏洞與Windows安全啟動功能有關。
分析師表示，雖然這些漏洞尚未在野外被利用，但它們提醒大家，安全啟動機制仍存在問題，未來可能會出現更多相關的惡意活動。
Microsoft在這次更新中使用了CWE評估標準，這有助於開發人員了解漏洞的根源原因，從而在軟體開發生命週期中採取更好的措施來預防攻擊。