Вторник патчей, октябрь 2022: Microsoft исправила 84 проблемы безопасности, в том числе одну уязвимость «нулевого дня»

Сразу 13 исправленных уязвимостей получили статус «Критический», так как способствуют удаленному выполнению кода, спуфингу или повышению привилегий.

Классификация уязвимостей по типу:

• 39 уязвимостей повышения привилегий
• 2 уязвимости обхода функций безопасности
• 20 уязвимостей удаленного выполнения кода
• 11 уязвимостей раскрытия информации
• 8 уязвимостей отказа в обслуживании
• 4 уязвимостей спуфинга

Для установки доступны следующие обновления:

• Обновление KB5018427 (Build 22621.674) для Windows 11, версия 22H2
• Обновление KB5018418 (Build 22000.1098) для Windows 11, версия 21H2
• Обновление KB5018410 для Windows 10, версия 22H2, 21H2 и 21H1
• Обновления безопасности для Windows Server за октябрь 2022
• Обновления безопасности для Windows 7 и Windows 8.1 за октябрь 2022

Microsoft также исправила 12 уязвимостей в Microsoft Edge на Chromium.

Исправлено две уязвимости «нулевого дня», одна из которых активно эксплуатировалась

В этот «Вторник Патчей» Microsoft исправила две публично раскрытые уязвимости нулевого дня, одна из которых замечена в реальных атаках.

Microsoft расценивает уязвимость как уязвимость нулевого дня, если она была публично раскрыта или активно используется до выхода официального патча.

Активно используемая уязвимость нулевого дня, с идентификатором CVE-2022-41033 представляет собой уязвимость повышения привилегий в системе событий Windows COM+.

В бюллетени Microsoft сообщается:

Злоумышленник, успешно воспользовавшийся этой уязвимостью, может получить системные привилегии.

Уязвимость была обнаружения «анонимным» исследователем.

Еще одна обнародованная уязвимость с идентификатором CVE-2022-41043 является уязвимостью раскрытия информации Microsoft Office. Она была обнаружена Коди Томасом из SpecterOps.

Microsoft заявляет, что злоумышленники могут использовать эту уязвимость для получения доступа к токенам аутентификации пользователей.

Уязвимость нулевого дня в Microsoft Exchange не исправлена

К сожалению, Microsoft не выпустила обновления безопасности для двух активно эксплуатируемых уязвимостей нулевого дня с идентификатором CVE-2022-41040 и CVE-2022-41082, также называемых ProxyNotShell.

Эти уязвимости были обнаружены в конце сентября вьетнамским отделом кибербезопасности GTSC.

Microsoft получила информацию об уязвимостях с помощью инициативы Trend Micro Zero Day Initiative. Ожидалось, что проблемы безопасности будут устранены сегодня.

Однако в бюллетене по безопасности Microsoft Exchange отмечается, что исправления еще не готовы:

Октябрьские обновления безопасности за 2022 год не содержат исправлений уязвимостей нулевого дня, о которых сообщалось 29 сентября 2022 г. (CVE-2022-41040 и CVE-2022-41082).

Пожалуйста, ознакомьтесь с сообщением в блоге, чтобы применить меры по снижению рисков эксплуатации этих уязвимостей. Мы выпустим обновления для CVE-2022-41040 и CVE-2022-41082 по мере готовности.

Обновления от других компаний

• Компания Apple выпустила iOS 16.0.3 с исправлением уязвимости отказа в обслуживание в приложении «Почта».
• Компания Cisco выпустила обновления безопасности для многочисленны своих продуктов.
• Компания Fortinet выпустила обновления безопасности для активно эксплуатируемой уязвимости обхода аутентификации.
• Компания Google выпустила обновления безопасности для Android.
• Компания SAP выпустила обновления безопасности для своих продуктов.
• Компания VMware выпустила обновления безопасности с исправлениями уязвимостей в VMware ESXi и vCenter Server.