Наступил второй вторник месяца, а значит, компании выпустили патчи для своей продукции. На этот раз Microsoft исправила 63 проблемы, включая одну уязвимость нулевого дня, которую уже атаковали злоумышленники, а также еще одну ошибку, которая пока не подверглась атакам, но информация о ней была раскрыта до выхода патча.
Об уязвимости нулевого дня, которая получила идентификатор CVE-2022-37969 (7,8 балла по шкале CVSS), Microsoft сообщили сразу четыре организации — DBAPPSecurity, Mandiant, CrowdStrike и Zscaler, — предупреждая, что баг уже используется в цепочке эксплоитов, связанной с целевыми атаками.
Microsoft сообщает, что ошибка связана с драйвером Windows Common Log File System (CLFS), подсистемой, которая используется для регистрации различных событий и данных.
«Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить привилегии уровня SYSTEM. Атакующий должен заранее получить доступ и иметь возможность запускать код в целевой системе. Этот метод не позволяет удаленно выполнять код в тех случаях, когда у злоумышленника еще нет такой возможности», — сообщает производитель.
Еще одна проблема, для которой до выхода патча был доступен публичный эксплоит, имеет идентификатор CVE-2022-23960 и представляет собой side-channel баг, связанный с утечкой данных в процессорах Arm. Эта уязвимость известна как Spectre-BHB и представляет собой очередной вариант на тему проблемы Spectre v2. Хакеры могут злоупотреблять ей для кражи данных из памяти, к которой по идее не должны иметь доступа.
По данным специалистов Trend Micro Zero Day Initiative, которые внимательно анализируют патчи каждого «вторника обновлений», администраторам также следует обратить особое внимание на следующие проблемы:
- CVE-2022-34718— уязвимость Windows TCP/IP, связанная с удаленным выполнением кода. Эта критическая ошибка позволяет удаленному неаутентифицированному злоумышленнику выполнять код с повышенными привилегиями без какого-либо взаимодействия с пользователей. Этот червеобразный баг получил 9,8 балла из 10 возможных по шкале CVSS. Подчеркивается, что перед ним уязвимы только системы с включенным IPv6 и настроенным IPSec.
- CVE-2022-34724 — уязвимость DNS-сервера Windows, ведущая к отказу в обслуживании. Удаленный и неаутентифицированный злоумышленник может спровоцировать DoS на чужом DNS-сервере. Пока неясно, убивает ли DoS только службу DNS или всю систему.
- CVE-2022-3075— Chromium: CVE-2022-3075 Недостаточная проверка данных в Mojo. Патч для этой проблемы был представлен разработчиками Google Chrome 2 сентября. Уязвимость позволяет выполнять код в уязвимых браузерах на основе Chromium и уже используется хакерами.
В рамках «вторника обновлений» патчи для своих продуктов традиционно выпустила не только Microsoft. Так, в сентябре 2022 года вышли и другие немаловажные исправления:
- Adobe устранила 63 уязвимости в продуктах для Windows и macOS, в том числе в Adobe Bridge, InDesign, Photoshop, InCopy, Animage и Illustrator;
- SAP представила16 новых и доработанных исправлений;
- также патчи подготовили Cisco, VMWare и разработчики Android.
