Vòng cập nhật bảo mật hàng tháng mới nhất của Microsoft đã được phát hành với các bản sửa lỗi cho 68 lỗ hổng trong danh mục phần mềm của mình, bao gồm các bản vá cho sáu ngày không khai thác tích cực.
12 trong số các vấn đề được xếp hạng Quan trọng, 2 vấn đề được xếp hạng Cao và 55 vấn đề được xếp hạng Quan trọng về mức độ nghiêm trọng. Điều này cũng bao gồm các điểm yếu đã bị OpenSSL khắc phục vào tuần trước.
Cũng được giải quyết riêng trong Microsoft Edge vào đầu tháng là một lỗ hổng được khai thác tích cực trong các trình duyệt dựa trên Chromium (CVE-2022-3723) đã được Google cắm vào như một phần của bản cập nhật không hoạt động vào cuối tháng trước.
Greg Wiseman, giám đốc sản phẩm tại Rapid7, cho biết trong một tuyên bố được chia sẻ với The Hacker News: “Tin tức quan trọng là hai lỗi zero-day CVE cũ ảnh hưởng đến Exchange Server, được công bố vào cuối tháng 9, cuối cùng đã được khắc phục.
“Khách hàng nên cập nhật hệ thống Exchange Server của họ ngay lập tức, bất kể đã áp dụng bất kỳ bước giảm thiểu nào được đề xuất trước đó hay chưa. Các quy tắc giảm thiểu không còn được khuyến nghị sau khi hệ thống đã được vá.”
Danh sách các lỗ hổng bị khai thác tích cực, cho phép nâng cao đặc quyền và thực thi mã từ xa, như sau –
CVE-2022-41040 (Điểm CVSS: 8,8) – Microsoft Exchange Server Nâng cao lỗ hổng đặc quyền (còn gọi là ProxyNotShell)
CVE-2022-41082 (Điểm CVSS: 8,8) – Microsoft Exchange Server Nâng cao lỗ hổng đặc quyền (còn gọi là ProxyNotShell)
CVE-2022-41128 (Điểm CVSS: 8,8) – Lỗ hổng thực thi mã từ xa của ngôn ngữ kịch bản Windows
CVE-2022-41125 (Điểm CVSS: 7,8) – Dịch vụ cách ly khóa Windows CNG Nâng cao lỗ hổng đặc quyền
CVE-2022-41073 (Điểm CVSS: 7,8) – Độ cao của lỗ hổng đặc quyền của Windows Print Spooler
CVE-2022-41091 (Điểm CVSS: 5,4) – Lỗ hổng bỏ qua tính năng bảo mật web của Windows Mark of the Web Security
Benoît Sevens và Clément Lecigne thuộc Nhóm phân tích mối đe dọa của Google (TAG) đã được ghi nhận là đã báo cáo CVE-2022-41128, nằm trong thành phần JScript9 và xảy ra khi một mục tiêu bị lừa truy cập vào một trang web được thiết kế đặc biệt.
CVE-2022-41091 là một trong hai lỗ hổng bảo mật trong Windows Mark of the Web (MoTW) được đưa ra ánh sáng trong vài tháng qua. Nó gần đây đã được phát hiện là vũ khí hóa bởi tác nhân ransomware Magniber để nhắm mục tiêu người dùng bằng các bản cập nhật phần mềm giả mạo.
“Kẻ tấn công có thể tạo một tệp độc hại để trốn tránh các biện pháp bảo vệ Mark of the Web (MotW), dẫn đến việc mất tính toàn vẹn và tính khả dụng của các tính năng bảo mật như Chế độ xem được bảo vệ trong Microsoft Office, dựa trên việc gắn thẻ MotW,” Microsoft cho biết trong một lời khuyên.
Lỗ hổng MotW thứ hai cần giải quyết là CVE-2022-41049 (hay còn gọi là ZippyReads). Được báo cáo bởi nhà nghiên cứu bảo mật Will Dormann của Analygence, nó liên quan đến việc không thể đặt cờ Mark of the Web cho các tệp lưu trữ được trích xuất.
Kev Breen, giám đốc nghiên cứu mối đe dọa mạng tại Immersive Labs, cho biết hai lỗ hổng leo thang đặc quyền trong Print Spooler và CNG Key Isolation Service có khả năng bị các tác nhân đe dọa lạm dụng như một bước tiếp theo của thỏa hiệp ban đầu và giành được các đặc quyền HỆ THỐNG.
“Cấp độ truy cập cao hơn này được yêu cầu để vô hiệu hóa hoặc giả mạo các công cụ giám sát bảo mật trước khi thực hiện các cuộc tấn công thông tin xác thực bằng các công cụ như Mimikatz có thể cho phép những kẻ tấn công di chuyển ngang qua mạng”, Breen nói thêm.
Bốn lỗ hổng được xếp hạng Nghiêm trọng khác trong bản vá tháng 11 đáng được chỉ ra là lỗ hổng nâng đặc quyền trong Windows Kerberos (CVE-2022-37967), Kerberos RC4-HMAC (CVE-2022-37966) và Microsoft Exchange Server (CVE-2022-41080 ), và một lỗ hổng từ chối dịch vụ ảnh hưởng đến Windows Hyper-V (CVE-2022-38015).
Danh sách các bản sửa lỗi cho các lỗ hổng nghiêm trọng được nối tiếp bởi bốn lỗ hổng thực thi mã từ xa trong Giao thức đường hầm điểm-điểm (PPTP), tất cả đều có điểm CVSS là 8,1 (CVE-2022-41039, CVE-2022-41088 và CVE- 2022-41044) và một ngôn ngữ kịch bản lệnh khác của Windows là JScript9 và Chakra (CVE-2022-41118).
Ngoài những vấn đề này, bản cập nhật Patch Tuesday cũng giải quyết một số lỗi thực thi mã từ xa trong Microsoft Excel, Word, ODBC Driver, Office Graphics, SharePoint Server và Visual Studio, cũng như một số lỗi leo thang đặc quyền trong Win32k, Bộ lọc Lớp phủ và Chính sách Nhóm.
Bản vá phần mềm từ các nhà cung cấp khác
Ngoài Microsoft, các bản cập nhật bảo mật cũng đã được các nhà cung cấp khác phát hành kể từ đầu tháng để khắc phục một số lỗ hổng, bao gồm –
