Este mês, a gigante tecnológica lança correções para 219 falhas de segurança, 11 críticas e 118 importantes a nível de severidade.
De entre os produtos-alvo das correções, incluem-se: Microsoft Windows, Internet Explorer (IE), Microsoft Edge (EdgeHTML-based e Chromium-based em modo Internet Explorer), ChakraCore, Office e Microsoft Office Services e Web Apps, Windows Defender, Microsoft Dynamics, Visual Studio, Azure DevOps, e Microsoft Apps para Android.
Este número também revela este mês como sendo aquele em que a Microsoft lança o maior número de correções para falhas de segurança nos seus produtos; ressalva-se ainda que nenhuma das falhas expostas no boletim deste mês se encontra a ser explorada ativamente.
Falhas no protocolo de SMB:
São endereçadas três, sendo que duas delas afetam o SMBv3 e estão classificadas como tendo grande nível de exploração. Duas são falhas que podem levar a negações de serviço - CVE-2020-1284 - e outra refere-se a acesso a informação sensível - CVE-2020-1206. Todas elas podem ser exploradas por um atacante autenticado, remotamente. Esta última pode ainda ser aproveitada para se escalar para outras falhas, como por exemplo a conhecida falha SMBGhost (CVE-2020-0796), de forma a que o atacante consiga executar código remotamente.
Ficheiros de atalho
Uma das falhas mais críticas, à qual está atribuído o CVE-2020-1299, tem a ver com a forma como o Windows processa ficheiros de atalho ou .LNK; o atacante podia convencer a vítima a processar um ficheiro .lnk especialmente criado, como por exemplo colocando uma pen USB de forma a tentar ligar-se a uma rede "air-gapped".
Bypass da segurança do Microsoft Outlook
A esta falha foi atribuído o CVE-2020-1229; nesta situação, os atacantes podiam carregar automaticamente imagens de forma remota sem que fossem apresentadas no menu de pré-visualização.
Motor de VBS
As falhas atribuídas e endereçadas são de severidade crítica - CVE-2020-1213, CVE-2020-1216 e CVE-2020-1260. Estavam presentes essencialmente na forma como os objetos são processados em memória, permitindo que um atacante pudesse executar código arbitrário no contexto to utilizador atual.
Mais informações no boletim de segurança oficial da Microsoft: https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Jun
