Microsoft 日前推出 2023 年 5 月例行資安更新修補包「Patch Tuesday」，共修復 38 個資安漏洞，其中有 6 個是屬於「嚴重」(Critical) 危險程度的漏洞，另有 3 個 0-day 漏洞也獲得修復，這些漏洞已知遭用於攻擊活動。

本月 Patch Tuesday 修復的漏洞數量僅有 38 個，較上個月（2023 年 4 月）的 97 個資安漏洞少了很多，可說是歷來修補漏洞數量最少的一次；其中 6 個屬於嚴重等級的漏洞，分類上全部屬於遠端執行任意程式碼類型，也是各種軟體漏洞中危害最大的一類。

以漏洞類型來區分，這次修復的資安漏洞與分類如下：

• 權限提升漏洞：8 個；
• 資安防護功能略過漏洞：4 個；
• 遠端執行任意程式碼漏洞：12 個；
• 資訊洩露漏洞：8 個；
• 服務阻斷（Denial of Service）漏洞：5 個；
• 假冒詐騙漏洞：1 個。

本月修復的 0-day 漏洞共有 3個，第一個是 CVE 編號為 CVE-2023-29336 的 Win32K 權限提升漏洞；該漏洞存於 Win32K Kernel driver 之中，可讓駭侵者將自身執行權限提升到最高等級的 SYSTEM 等級。

第二個 0-day 漏洞是 CVE-2023-24932，屬於開機安全功能略過漏洞；該漏洞已遭駭侵者利用 BlackLotus UEFI bootkit 用於攻擊；Windows 系統中的韌體會遭寫入惡意軟體，且防毒防駭軟體無法偵測。

第三個 0-day 漏洞是 CVE-2023-29325，存於 Windows OLE 系統中，為遠端執行任意程式碼漏洞。

• CVE 編號：CVE-2023-29336、CVE-2023-24932、CVE-2023-24932
• 影響產品資訊：Microsoft 旗下多種軟體，包括 Windows、Office、Exchange 等。
• 解決方案：建議系統管理者與 Microsoft 用戶應立即依照指示，以最快速度套用 Patch Tuesday 與不定期發表的資安更新，以避免駭侵者利用未及更新的漏洞發動攻擊。
   
• 參考連結

Win32k Elevation of Privilege Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-29336

Secure Boot Security Feature Bypass Vulnerability

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-24932

Windows OLE Remote Code Execution Vulnerability

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2023-29325

Microsoft May 2023 Patch Tuesday fixes 3 zero-days, 38 flaws

https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2023-patch-tuesday-fixes-3-zero-days-38-flaws/