# Uyarı: Microsoft, 5 Yeni Sıfır Gün Güvenlik Açığı için Yama Güncellemeleri Yayınladı - Yayın: 2023-11-17 00:14 (Europe/Istanbul) - Kategori: Güvenlik Açıkları - Yazar: Burak Akmeşe - Kaynak adres: https://sibermuhbir.com/haber/uyari-microsoft-5-yeni-sifir-gun-guvenlik-acigi-icin-yama-guncellemeleri-yayinladi-278 > Microsoft, Kasım 2023 ayı için yazılımlarında, vahşi doğada aktif olarak istismar edilen üç güvenlik açığı da dahil olmak üzere 63 güvenlik hatasını gidermek için düzeltmeler yayınladı. 63 kusurdan üçü Kritik, 56'sı Önemli ve dördü Orta derecede derecelendirilmiştir. Bunlardan ikisi, piyasaya sürüldüğü sırada herkes tarafından biliniyor olarak listelenmiştir. Güncellemeler, Ekim 2023 için Salı Yaması güncellemelerinin yayınlanmasından bu yana Chromium tabanlı Edge tarayıcısında ele alınan [35'ten fazla güvenlik eksikliğine](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security) ek olarak yapıldı. Dikkat edilmesi gereken beş sıfır gün aşağıdaki gibidir: - [CVE-2023-36025 (CVSS](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025) puanı: 8,8) - Windows SmartScreen Güvenlik Özelliği Atlama Güvenlik Açığı - [CVE-2023-36033 (CVSS](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36033) puanı: 7,8) - Windows DWM Çekirdek Kitaplığı Ayrıcalık Yükselmesi Güvenlik Açığı - [CVE-2023-36036 (CVSS](https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36036) puanı: 7,8) - Windows Bulut Dosyaları Mini Filtre Sürücüsü Ayrıcalık Yükselmesi Güvenlik Açığı - [CVE-2023-36038 (CVSS](https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-36038) puanı: 8,2) - ASP.NET Temel Hizmet Reddi Güvenlik Açığı - [CVE-2023-36413 (CVSS](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36413) puanı: 6,5) - Microsoft Office Güvenlik Özelliği Atlama Güvenlik Açığı Hem CVE-2023-36033 hem de CVE-2023-36036, bir saldırgan tarafından SİSTEM ayrıcalıkları elde etmek için kullanılabilirken, CVE-2023-36025, Windows Defender SmartScreen kontrollerini ve bunlarla ilişkili istemleri atlamayı mümkün kılabilir. "Kullanıcının özel hazırlanmış bir İnternet Kısayoluna tıklaması gerekir (. URL) veya saldırgan tarafından ele geçirilecek bir İnternet Kısayolu dosyasına işaret eden bir köprü," dedi Microsoft, CVE-2023-36025 hakkında. CVE-2023-36025, 2023'te vahşi ortamda istismar edilen üçüncü Windows SmartScreen sıfır gün güvenlik açığı ve son iki yılda dördüncü güvenlik açığıdır. Aralık 2022'de Microsoft, CVE-2022-44698'e (CVSS puanı: 5.4) yama uygularken, CVE-2023-24880'e (CVSS puanı: 5.1) Mart ayında ve CVE-2023-32049'a (CVSS puanı: 8.8) Temmuz ayında yama uygulandı. Ancak Windows üreticisi, kullanılan saldırı mekanizmaları ve bunları silahlandırabilecek tehdit aktörleri hakkında daha fazla rehberlik sağlamadı. Ancak ayrıcalık yükseltme kusurlarından etkin bir şekilde yararlanılması, bunların büyük olasılıkla bir uzaktan kod yürütme hatasıyla birlikte kullanıldığını göstermektedir. Tenable'da kıdemli personel araştırma mühendisi olan Satnam Narang, The Hacker News ile paylaşılan bir açıklamada, "Son iki yılda DWM Çekirdek Kitaplığı'nda 12 ayrıcalık güvenlik açığı artışı oldu, ancak bu, vahşi doğada sıfır gün olarak istismar edilen ilk güvenlik açığı" dedi. Gelişme, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı'nın (CISA) üç sorunu Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna [eklemesine](https://www.cisa.gov/news-events/alerts/2023/11/14/cisa-adds-three-known-exploited-vulnerabilities-catalog) ve federal kurumları düzeltmeleri 5 Aralık 2023'e kadar uygulamaya çağırmasına neden oldu. Ayrıca, Korumalı Genişletilebilir Kimlik Doğrulama Protokolü ve Pragmatik Genel Çok Noktaya Yayın'da ([CVE-2023-36028 ve CVE-2023-36397](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36028), [CVSS](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36397) puanları: 9.8) bir tehdit aktörünün kötü amaçlı kodun yürütülmesini tetiklemek için kullanabileceği iki kritik uzaktan kod yürütme kusuru da Microsoft tarafından yamalanmıştır. Kasım güncellemesi ayrıca CVE-2023-38545 (CVSS puanı: 9.8), curl kitaplığında geçen ay ortaya çıkan kritik bir [yığın tabanlı arabellek taşması kusuru](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-38545) ve Azure CLI'da bir bilginin açığa çıkması güvenlik açığı (CVE-2023-36052, CVSS puanı: 8.6) için bir yama içeriyor. Microsoft, "Bu güvenlik açığından başarıyla yararlanan bir saldırgan, etkilenen CLI komutları tarafından oluşturulan ve Azure DevOps ve/veya GitHub Actions tarafından yayımlanan günlük dosyalarından düz metin parolaları ve kullanıcı adlarını kurtarabilir" dedi. Sorunu bildiren Palo Alto Networks araştırmacısı Aviad Hahami, güvenlik açığının boru hattının günlüğünde depolanan kimlik bilgilerine erişim sağlayabileceğini ve bir saldırganın takip saldırıları için ayrıcalıklarını potansiyel olarak artırmasına izin verebileceğini [söyledi](https://www.paloaltonetworks.com/blog/prisma-cloud/secrets-leakage-user-error-azure-cli/). ### Diğer Satıcılardan Yazılım Yamaları# Microsoft'a ek olarak, aşağıdakiler de dahil olmak üzere çeşitli güvenlik açıklarını düzeltmek için son birkaç hafta içinde diğer satıcılar tarafından güvenlik güncellemeleri de yayınlandı: - [Adobe](https://helpx.adobe.com/security/security-bulletin.html) - [AMD](https://www.amd.com/en/corporate/product-security) (including [CacheWarp](https://thehackernews.com/2023/11/cachewarp-attack-new-vulnerability-in.html)) - [Android](https://source.android.com/security/bulletin/2023-11-01) - [Apache Projects](https://projects.apache.org/releases.html) - [Apple](https://support.apple.com/en-us/HT201222) - [Aruba Networks](https://www.arubanetworks.com/support-services/security-bulletins/) - [Arm](https://developer.arm.com/Arm%20Security%20Center/Mali%20GPU%20Driver%20Vulnerabilities) - [ASUS](https://www.asus.com/content/asus-product-security-advisory/) - [Atlassian](https://www.atlassian.com/trust/security/advisories) - [Cisco](https://tools.cisco.com/security/center/publicationListing.x) - [CODESYS](https://www.codesys.com/security/security-reports.html) - [Dell](https://www.dell.com/support/security/) - [Drupal](https://www.drupal.org/security) - [F5](https://my.f5.com/manage/s/new-updated-articles#sort=%40f5_updated_published_date%20descending&f:@f5_document_type=[Security%20Advisory]&periodFilter=0&dateField=1) - [Fortinet](https://www.fortiguard.com/psirt) - [GitLab](https://about.gitlab.com/releases/2023/10/31/security-release-gitlab-16-5-1-16-4-2-16-3-6-released/) - [Google Chrome](https://chromereleases.googleblog.com/2023/11/stable-channel-update-for-desktop_14.html) - [Hitachi Energy](https://www.hitachienergy.com/in/en/products-and-solutions/cybersecurity/alerts-and-notifications) - [HP](https://support.hp.com/us-en/security-bulletins) - [IBM](https://www.ibm.com/support/pages/bulletin/) - [Intel](https://www.intel.com/content/www/us/en/security-center/default.html) (including [Reptar](https://thehackernews.com/2023/11/reptar-new-intel-cpu-vulnerability.html)) - [Jenkins](https://www.jenkins.io/security/advisories/) - [Juniper Networks](https://supportportal.juniper.net/s/global-search/%40uri?language=en_US#sort=date%20descending&f:ctype=[Security%20Advisories]) - [Lenovo](https://support.lenovo.com/us/en/product_security/ps500001-lenovo-product-security-advisories) - Linux distributions [Debian](https://www.debian.org/security/2022/), [Oracle Linux](https://linux.oracle.com/ords/f?p=105:21::::RP::), [Red Hat](https://access.redhat.com/security/security-updates/#/security-advisories?q=&p=1&sort=portal_publication_date%20desc&rows=10&portal_advisory_type=Security%20Advisory&documentKind=PortalProduct), [SUSE](https://www.suse.com/support/update/), and [Ubuntu](https://ubuntu.com/security/notices) - [MediaTek](https://corp.mediatek.com/product-security-bulletin/November-2023) - [Mitsubishi Electric](https://www.mitsubishielectric.com/en/psirt/vulnerability/index.html) - [NETGEAR](https://www.netgear.com/about/security/) - [NVIDIA](https://www.nvidia.com/en-us/security/) - [Palo Alto Networks](https://security.paloaltonetworks.com/) - [Qualcomm](https://docs.qualcomm.com/product/publicresources/securitybulletin/) - [Samsung](https://security.samsungmobile.com/securityUpdate.smsb) - [SAP](https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=10) - [Schneider Electric](https://www.se.com/ww/en/work/support/cybersecurity/security-notifications.jsp) - [Siemens](https://new.siemens.com/global/en/products/services/cert.html#SecurityPublications) - [SolarWinds](https://www.solarwinds.com/trust-center/security-advisories) - [SonicWall](https://psirt.global.sonicwall.com/vuln-list) - [SysAid](https://thehackernews.com/2023/11/zero-day-alert-lace-tempest-exploits.html) - [Trend Micro](https://success.trendmicro.com/dcx/s/solution/000295652?language=en_US) - [Veeam](https://thehackernews.com/2023/11/critical-flaws-discovered-in-veeam-one.html) - [Veritas](https://www.veritas.com/support/en_US/security/) - [VMware](https://thehackernews.com/2023/11/urgent-vmware-warns-of-unpatched.html) - [WordPress](https://wordpress.org/news/category/security/) - [Zimbra](https://wiki.zimbra.com/wiki/Security_Center) - [Zoom](https://explore.zoom.us/en/trust/security/security-bulletin/), and - [Zyxel](https://www.zyxel.com/global/en/support/security-advisories)