وفي الوقت نفسه ، أبلغ الباحثون في مشروع Google Project Zero عن 18 نقطة ضعف في يوم الصفر في أجهزة Exynos Modems التي تصنعها Samsung. وكتب الباحثون في مدونة أن الأنواع الأربعة الأشد – CVE-2023-24033 ، و CVE-2023-26496 ، و CVE-2023-26497 ، و CVE-2023-26498 – تسمح بتنفيذ التعليمات البرمجية من الإنترنت إلى النطاق الأساسي عن بُعد. وكتبوا: “تؤكد الاختبارات التي أجراها Project Zero أن الثغرات الأربع تسمح للمهاجم باختراق هاتف على مستوى النطاق الأساسي دون تدخل المستخدم ، ويتطلب فقط أن يعرف المهاجم رقم هاتف الضحية”.
تشمل الأجهزة المتأثرة تلك الموجودة في سلسلة S22 و M33 و M13 و M12 و A71 و A53 و A33 و A21s و A13 و A12 و A04 ، بالإضافة إلى سلسلة Google Pixel 6 و Pixel 7.
ستختلف المخططات الزمنية للتصحيح حسب الشركة المصنعة ، لكن أجهزة Pixel المتأثرة تلقت إصلاحًا لجميع الثغرات الأربع الخطيرة لتنفيذ التعليمات البرمجية عن بُعد من الإنترنت إلى النطاق الأساسي. في غضون ذلك ، يمكن للمستخدمين الذين لديهم أجهزة متأثرة حماية أنفسهم عن طريق إيقاف تشغيل مكالمات Wi-Fi و Voice-over-LTE (VoLTE) في إعدادات أجهزتهم ، على حد قول Google.
جوجل كروم
أصدرت Google متصفح Chrome 111 من متصفحها الشهير ، حيث أصلحت ثمانية ثغرات أمنية ، سبعة منها هي أخطاء أمان الذاكرة ذات تصنيف الخطورة العالي. تتضمن أربع ثغرات أمنية بعد الاستخدام مشكلة شديدة الخطورة تم تعقبها مثل CVE-2023-1528 في كلمات المرور و CVE-2023-1529 ، وهو خلل في الوصول إلى الذاكرة خارج الحدود في WebHID.
وفي الوقت نفسه ، يعد CVE-2023-1530 خطأً خاليًا من الاستخدام في ملف PDF أبلغ عنه المركز الوطني للأمن السيبراني في المملكة المتحدة ، و CVE-2023-1531 هو ثغرة أمنية عالية الخطورة وخالية من الاستخدام في ANGLE.
لا تعرف Google أيًا من المشكلات التي تم استخدامها في الهجمات ، ولكن نظرًا لتأثيرها ، فمن المنطقي تحديث Chrome عندما تستطيع ذلك.
سيسكو
قامت شركة Cisco العملاقة لبرامج المؤسسات بنشر حزمة الأمان مرتين سنويًا لبرنامجها IOS و IOS XE ، لإصلاح 10 نقاط ضعف. تم تصنيف ستة من المشكلات التي تم حلها بواسطة Cisco على أنها ذات تأثير كبير ، بما في ذلك CVE-2023-20080 ، وخلل في رفض الخدمة ، و CVE-2023-20065 ، خطأ تصعيد الامتياز.
في بداية الشهر ، أصلحت Cisco العديد من الثغرات الأمنية في واجهة الإدارة المستندة إلى الويب لبعض هواتف Cisco IP التي قد تسمح لمهاجم بعيد غير مصادق بتنفيذ تعليمات برمجية عشوائية أو التسبب في رفض الخدمة. مع درجة CVSS البالغة 9.8 ، فإن الأسوأ هو CVE-2023-20078 ، وهي ثغرة أمنية في واجهة الإدارة القائمة على الويب لهواتف Cisco IP Phone 6800 و 7800 و 8800 متعددة الأنظمة الأساسية.
قالت Cisco إن المهاجم يمكن أن يستغل هذه الثغرة الأمنية عن طريق إرسال طلب معد إلى واجهة الإدارة المستندة إلى الويب ، مضيفة: “قد يسمح الاستغلال الناجح للمهاجم بتنفيذ أوامر عشوائية على نظام التشغيل الأساسي للجهاز المتأثر.”
ثعلب النار
أصدر المطور المهتم بالخصوصية Mozilla Firefox 111 ، حيث أصلح 13 ثغرة أمنية ، سبعة منها مصنفة على أنها ذات تأثير كبير. يتضمن ذلك ثلاثة عيوب في Firefox لنظام Android ، بما في ذلك CVE-2023-25749 ، والتي ربما أدت إلى فتح تطبيقات الطرف الثالث دون مطالبة.
وفي الوقت نفسه ، تم إصلاح اثنين من الأخطاء المتعلقة بأمان الذاكرة ، CVE-2023-28176 و CVE-2023-28177 ، في Firefox 111. “أظهرت بعض هذه الأخطاء دليلًا على تلف الذاكرة ، ونفترض أنه بجهد كافٍ كان من الممكن أن تكون بعض هذه الأخطاء تم استغلالها لتشغيل تعليمات برمجية عشوائية “، قالت موزيلا.
العصارة
إنه شهر آخر من التحديثات الكبيرة لشركة SAP ، التي أصدرت 19 ملاحظة أمنية جديدة في دليل يوم التصحيح الأمني لشهر مارس. تتضمن المشكلات التي تم إصلاحها خلال الشهر أربعة منها بدرجة CVSS تزيد عن 9.
واحدة من أسوأ هذه العوامل هي CVE-2023-25616 ، وهي ثغرة أمنية لحقن التعليمات البرمجية في SAP Business Objects Business Intelligence Platform. قالت شركة الأمن Onapsis إن هذه الثغرة الأمنية في وحدة التحكم بالإدارة المركزية تسمح للمهاجمين بحقن تعليمات برمجية عشوائية ذات “تأثير سلبي قوي” على سلامة النظام وسريته وتوافره.
أخيرًا ، مع درجة CVSS البالغة 9.9 ، يعد CVE-2023-23857 خطأ غير صحيح في التحكم في الوصول في SAP NetWeaver AS لـ Java. قال Onapsis: “تسمح الثغرة الأمنية للمهاجم غير المصدق بالإرفاق بواجهة مفتوحة والاستفادة من واجهة برمجة التطبيقات للدليل والتسمية المفتوحة للوصول إلى الخدمات”.
