补丁周二微软以一个相对较轻的6月补丁拉开了夏季补丁季的序幕.
微软发布了针对其产品中49个CVE标记的安全漏洞的更新--包括一个被认为严重的漏洞，一个相当可怕的无线网络漏洞，以及一个被列为公开披露的漏洞.
被列为众所周知、尚未公开利用的漏洞是Windows Server中的CVE-2023-50868以及非微软软件.
这是我们从2月份就知道的DNSSEC实现中的一个漏洞.
El Reg的读者可能还记得这个名为NSEC3-encloser的漏洞，远程攻击者可以利用它来耗尽易受攻击的系统上的cpu资源，导致系统停止正常工作.
雷蒙德周二宣称：“CVE-2023-50868是关于DNSSEC验证中的一个漏洞，攻击者可以通过在解析器上使用过多的资源来利用旨在实现域名系统完整性的标准DNSSEC协议，从而对合法用户造成拒绝服务.
”已公布的一个严重缺陷-CVE-2024-30080-是微软消息队列中的远程代码执行问题，其严重程度足以使其获得9.
8分(满分10分)的CVSS严重性评级.
雷蒙德将这一攻击描述为“更有可能的利用漏洞”.
它可以让远程未经身份验证的攻击者通过向易受攻击的Windows系统(如Windows Server box)发送巧尽心思构建的恶意MSMQ数据包来执行任意代码.
Zero Day Initiative的达斯汀·查尔兹表示：“这使得这些服务器之间可以进行蠕虫攻击，但不能在MSMQ被禁用的系统上进行攻击.
”他补充说，“目前还不清楚有多少受影响的系统暴露在互联网上.
”虽然这可能是一个很小的数字，但现在是审计您的网络以确保TCP1801端口不可访问的好时机.
“事实上，微软表示：”您可以检查是否有一个名为消息队列的服务正在运行，并且TCP1801端口正在监听机器.
“还有一个看起来很可怕的CVE-2024-30078，一个严重程度为8.
8的Wi-Fi驱动程序远程代码执行漏洞.
根据雷蒙德的说法，它还没有公开披露，还没有受到攻击，利用这种攻击的可能性很小.
据雷蒙德称，未经身份验证的攻击者可以向采用Wi-Fi网络适配器的相邻系统发送恶意网络数据包，从而实现远程代码执行，从而远程、静默和无线地在附近受害者的计算机上运行恶意软件或间谍软件.
蔡尔兹说：“考虑到它攻击了所有受支持的Windows版本，它可能会引起攻击者和红色团队的大量关注.
”尽快打补丁：这个漏洞可以被滥用来在附近的Windows PC上运行恶意软件，并通过他们的Wi-Fi劫持他们，而不需要身份验证.非常糟糕.最重要的是，微软代码中通常会出现权限提升和其他代码执行漏洞，以弥补本月发布的补丁.
Adobe发布了10个补丁，覆盖了多达166个CVE，其中144个影响了Experience Manager.
在144个漏洞中，只有一个被认为是严重的，其余的被评为重要和中等.
幸运的是，似乎没有人在野外被利用.
与此同时，Photoshop更新解决了一个可能允许任意代码执行的关键漏洞，FrameMaker发布服务器有两个可能导致权限提升的关键CVE.
此外，Adobe Substance 3D Stager也有一个针对一个关键越界写入安全问题的补丁.
此外，Creative Cloud Desktop的更新修复了一个关键的不受控制的搜索路径元素，该元素可能允许执行任意代码.
Adobe Commerce的更新解决了七个关键漏洞和三个重要漏洞，它们可以被用来执行任意代码、绕过安全功能和权限提升.
此外，审核补丁修复了两个重要的内存泄漏和应用程序拒绝服务漏洞，而ColdFusion更新修复了两个可能导致任意文件系统读取并允许攻击者绕过安全功能的重要错误.
其中一个重要的漏洞是T越界读取媒体编码器中的漏洞，现在有一个修复.
最后，Adobe Acrobat Android中的一个重要CVE可能会导致安全功能绕过.
本月，SAP发布了十几个新的和更新的安全笔记(在客户付费墙后)，包括针对影响NetWeaver的两个高优先级警报，如Java和S/4HANA上的财务整合.
在这两个漏洞中，注#3457592修补了SAP Financial Consolidation中的两个跨站点脚本漏洞，获得了最高的CVSS严重性评分8.1.Onapsis的SAP安全研究员Thomas Fritsch解释说：“更关键的一个允许数据通过不可信的来源进入Web应用程序并操纵网站内容.
”“这会对应用程序的机密性和完整性造成严重影响.
”第二个高优先级注释#3460407解决了NetWeaver中一个7.
5级的拒绝服务漏洞.
开放源码脚本语言PHP本月发布了8.2.20，其中包括对跟踪为CVE-2024-4577的RCE的修复.
PHP for Windows中的这一严重漏洞现在正在被活跃利用，至少有一群犯罪分子正在利用该漏洞分发TellYouThePass勒索软件-因此绝对要优先更新此代码.
ARM已经修复了其BitFrost和ValHall GPU内核驱动程序中的一个漏洞，该漏洞已被不法分子发现并利用.
它被跟踪为CVE-2024-4610，影响从r34p0到r40p0的所有版本.
ARM警告称，“本地非特权用户可以进行不正确的GPU内存处理操作，以获得对已经释放的内存的访问权限.
”并指出，它“知道有报告称此漏洞被肆意利用.
”当我们发现更多关于这个问题的时候，我们会让你知道：它可能被流氓应用程序等利用来危害ARM驱动的设备，我们想，苹果在其visionOS 1.
2版本中解决了21个错误.
据报道，这些漏洞在发布时都没有被利用.
最严重的漏洞可能会允许应用程序以内核权限执行任意代码--所以如果你使用苹果的3D摄像头，安装更新后的软件统计数据.
谷歌6月份针对Android的安全更新修补了其Android服务中的37个漏洞.
谷歌指出：“这些问题中最严重的是系统组件中的一个高度安全漏洞，它可能导致本地权限升级，而不需要额外的执行权限.
事实上，系统组件中有7个这样严重的EOP，另外还有10个在框架中.
”SolarWinds已经修复了其托管文件传输工具Serv-U中的8.
6CVSS级目录遍历漏洞-跟踪为CVE-2024-28995-该漏洞可授予窥探对主机上敏感文件的读取访问权限.
升级到SolarWinds Serv-U 15.4.2 HF 2以填补安全漏洞.
虽然目前还没有该漏洞被利用的报告，但“Rapid7研究人员已证实该漏洞很容易被利用，只要路径已知且文件未锁定，攻击者就可以读取磁盘上的任何文件(包括二进制文件).
”，这可能会造成非常糟糕的后果.
Fortinet在FortiOS的命令行解释器中修复了多个基于堆栈的缓冲区溢出漏洞，跟踪为CVE-2024-23110，允许经过身份验证的攻击者执行未经授权的代码.
同时，思科本月发布了针对Webex和Cisco Finesse的安全更新.
Webex会议漏洞于5月下旬被发现，据报道，该漏洞被窥探者用来监视政府和军事会议.