Microsoft elimină erori zero-day, exploatate activ în actualizarea din decembrie

Microsoft a lansat remedieri pentru 48 de noi vulnerabilități în produsele sale, inclusiv una pe care atacatorii o exploatează în mod activ și alta care a fost dezvăluită public, dar nu este exploatată activ acum.

Șase dintre vulnerabilitățile pe care compania le-a corectat în ultima actualizare lunară de securitate pentru anul sunt enumerate ca fiind critice. A atribuit un rating important de severitate pentru 43 de vulnerabilități și a dat trei defecte o evaluare moderată a severității. 

Actualizarea Microsoft include patch-uri pentru CVE-uri în afara benzii pe care le-a abordat în ultima lună, plus 23 de vulnerabilități în tehnologia browserului Google Chromium, pe care se bazează browserul Microsoft Edge.

Bug de securitate exploatat activ

Defectul pe care atacatorii îl exploatează în mod activ (CVE-2022-44698) nu este printre cei mai critici cu privire la erorile pentru care Microsoft a lansat patch-uri astăzi. Defectul oferă atacatorilor o modalitate de a ocoli caracteristica de securitate Windows SmartScreen pentru a proteja utilizatorii împotriva fișierelor rău intenționate descărcate de pe Internet. 

„Un atacator poate crea un fișier rău intenționat care ar evita apărarea Mark of the Web (MOTW), ceea ce duce la o pierdere limitată a integrității și a disponibilității caracteristicilor de securitate, cum ar fi Protected View în Microsoft Office, care se bazează pe etichetarea MOTW”, a spus Microsoft.

CVE-2022-44698 prezintă doar un risc relativ mic pentru organizații, spune Kevin Breen, director de cercetare a amenințărilor cibernetice la Immersive Labs. „Trebuie să fie folosit în parteneriat cu un fișier executabil sau alt cod rău intenționat, cum ar fi un document sau un fișier script”, spune Breen. „În aceste situații, acest CVE ocolește o parte din scanarea și detectarea reputației încorporate ale Microsoft - și anume SmartScreen, care ar apărea în mod normal pentru a spune unui utilizator că fișierul ar putea să nu fie sigur.” 

În același timp, utilizatorii nu ar trebui să subestimeze amenințarea și ar trebui să corecteze problema rapid, recomandă Breen.

Microsoft a descris un alt defect - o problemă de creștere a privilegiilor în nucleul DirectX Graphics - ca fiind o exploatare de zi zero cunoscută public, dar care nu este activă. Compania a evaluat vulnerabilitatea (CVE-2022-44710) ca fiind „Important” ca gravitate și unul care ar permite unui atacator să obțină privilegii la nivel de sistem dacă este exploatat. Cu toate acestea, compania a descris defectul ca fiind unul pe care atacatorii sunt mai puțin probabil să îl exploateze.

Vulnerabilități de corectat acum

ZDI de la Trend Micro a semnalat alte trei vulnerabilități în actualizarea de securitate din decembrie Patch Tuesday ca fiind semnificative: CVE-2022-44713, CVE-2022-41076, și CVE-2022-44699.

CVE-2022-44713 este o vulnerabilitate de falsificare în Microsoft Outlook pentru Mac. Vulnerabilitatea permite unui atacator să apară ca un utilizator de încredere și să determine o victimă să greșească un mesaj de e-mail ca și cum ar proveni de la un utilizator legitim. 

„Nu evidențiem adesea erori de falsificare, dar oricând aveți de-a face cu o eroare de falsificare într-un client de e-mail, ar trebui să luați în considerare”, șeful ZDI de conștientizare a amenințărilor, Dustin Childs. a declarat într-un post blog. Vulnerabilitatea s-ar putea dovedi deosebit de supărătoare atunci când este combinată cu defectul de ocolire SmartScreen MoTW menționat mai sus, pe care atacatorii o exploatează în mod activ, a spus el.

CVE-2022-41076 este o vulnerabilitate PowerShell de execuție de cod la distanță (RCE) care permite unui atacator autentificat să scape de configurația sesiunii de la distanță PowerShell și să execute comenzi arbitrare pe un sistem afectat, a spus Microsoft. 

Compania a evaluat vulnerabilitatea ca fiind ceva pe care atacatorii sunt mai probabil să-l compromită, chiar dacă complexitatea atacului în sine este mare. Potrivit Childs, organizațiile ar trebui să acorde atenție vulnerabilității, deoarece este tipul de defect pe care atacatorii îl exploatează adesea atunci când caută să „trăiască din pământ” după ce au obținut accesul inițial la o rețea. 

„Cu siguranță nu ignora acest patch”, a scris Childs.

Și, în sfârșit, CVE-2022-44699 este o altă vulnerabilitate de ocolire a securității - de data aceasta în Azure Network Watcher Agent - care, dacă sunt exploatate, ar putea afecta capacitatea unei organizații de a captura jurnalele necesare pentru răspunsul la incident. 

„S-ar putea să nu existe multe întreprinderi care se bazează pe acest instrument, dar pentru cei care folosesc această extensie VM [Azure Network Watcher], această remediere ar trebui tratată ca critică și implementată rapid”, a spus Childs.

Cercetători cu Cisco Talos a identificat alte trei vulnerabilități ca critice și probleme pe care organizațiile trebuie să le abordeze imediat. Una dintre ele este CVE-2022-41127, o vulnerabilitate RCE care afectează Microsoft Dynamics NAV și versiunile locale ale Microsoft Dynamics 365 Business Central. O exploatare de succes ar putea permite unui atacator să execute cod arbitrar pe serverele care rulează aplicația Microsoft Dynamics NAV ERP, au spus cercetătorii Talos într-o postare pe blog. 

Celelalte două vulnerabilități pe care vânzătorul le consideră a fi de mare importanță sunt CVE-2022-44670 și CVE-2022-44676, ambele fiind defecte RCE în Windows Secure Socket Tunneling Protocol (SSTP). 

„Exploatarea cu succes a acestor vulnerabilități necesită ca un atacator să câștige o condiție de cursă, dar ar putea permite unui atacator să execute de la distanță codul pe serverele RAS”, conform avizului Microsoft.

Printre vulnerabilitățile pe care SANS Internet Storm Center identificate ca importante sunt (CVE-2022-41089), un RCE în .NET Framework și (CVE-2022-44690) în Microsoft SharePoint Server.

Într-o blog, Mike Walters, vicepreședinte pentru cercetarea vulnerabilităților și amenințărilor la Action1 Corp., a subliniat, de asemenea, o vulnerabilitate a privilegiilor de creștere a Windows Print Spooler (CVE-2022-44678), la fel de Alta problema a se uita. 

„CVE-2022-44678 recent rezolvat este cel mai probabil să fie exploatat, ceea ce este probabil adevărat deoarece Microsoft a remediat o altă vulnerabilitate zero-day legată de Print Spooler luna trecută”, a spus Walters. „Riscul de la CVE-2022-44678 este același: un atacator poate obține privilegii de SISTEM după o exploatare cu succes - dar numai local.”

Un număr de erori confuz

În mod interesant, mai mulți furnizori au avut o abordare diferită a numărului de vulnerabilități pe care Microsoft le-a corectat luna aceasta. ZDI, de exemplu, a evaluat că Microsoft a corectat 52 de vulnerabilități; Talos a fixat numărul la 48, SANS la 74, iar Action1 a avut inițial Microsoft patching 74, înainte de a-l revizui la 52.

Johannes Ullrich, decan de cercetare pentru SANS Technology Institute, spune că problema are de-a face cu diferitele moduri în care se pot număra vulnerabilitățile. Unele, de exemplu, includ vulnerabilități Chromium în numărul lor, în timp ce altele nu. 

Altele, cum ar fi SANS, includ, de asemenea, recomandări de securitate care însoțesc uneori actualizările Microsoft ca vulnerabilități. De asemenea, Microsoft lansează uneori patch-uri în timpul lunii, pe care le include și în următoarea actualizare a Patch Tuesday, iar unii cercetători nu le numără. 

„Numărul de patch-uri poate fi uneori confuz, deoarece ciclul Patch Tuesday este, din punct de vedere tehnic, din noiembrie până în decembrie, așa că acesta va include și patch-uri care au fost lansate în afara grupului la începutul lunii și poate include și actualizări de la furnizori terți”, spune Breen. . „Cele mai notabile dintre acestea sunt patch-urile de la Google de la Chromium, care este baza pentru browserul Microsoft Edge.”
Breen spune că, după numărul său, există 74 de vulnerabilități corectate de la ultimul patch de marți din noiembrie. Aceasta include 51 de la Microsoft și 23 de la Google pentru browserul Edge. 

„Dacă excludem atât [patch-urile] out-of-band, cât și Google Chromium, astăzi au fost lansate 49 de corecții pentru vulnerabilități”, spune el.

Un purtător de cuvânt al Microsoft spune că numărul de noi CVE pentru care compania a emis patch-uri astăzi a fost de 48.