В рамках апрельского «вторника обновлений» было исправлено более 120 багов, затрагивающих Windows, Defender, Office, Exchange Server, Visual Studio и другие продукты Microsoft. Среди них были и две 0-day уязвимости, одна из которых уже активно использовалась хакерами.
В общей сложности в этом месяце исправили 119 уязвимостей (не считая 26 уязвимостей Microsoft Edge), 10 из которых классифицируются как критические, поскольку допускают удаленное выполнение кода.
Под атаками уже находилась уязвимость CVE-2022-24521, набравшая 7,8 балла по шкале CVSS. Эта проблема связана с повышением привилегий в Windows Common Log File System (CLFS). Благодарность за обнаружение этой ошибки компания приносит Агентству национальной безопасности США (АНБ) и исследователям из компании CrowdStrike. Об атаках, связанных с этим багом, пока ничего не сообщается.
Вторая уязвимость нулевого дня, информация о которой была раскрыта до выхода патчей, это CVE-2022-26904 (7 баллов по шкале CVSS). Этот баг тоже связан с повышением, но на этот раз в Windows User Profile Service, а для успешного использования проблемы «требуется, чтобы злоумышленник выиграл состояние гонки».
Среди других критических проблем, заслуживающих внимания, можно перечислить ряд недостатков удаленного выполнения кода в RPC Runtime Library (CVE-2022-26809, CVSS — 9,8 балла), Windows Network File System (CVE-2022-24491 и CVE-2022-24497, CVSS— 9,8 балла), Windows Server Service (CVE-2022-24541), Windows SMB (CVE-2022-24500), а также Microsoft Dynamics 365 (CVE-2022-23259).
