0
0
O início de um novo ano significa que é hora de começar a trabalhar para alcançar suas resoluções anuais. Com base nas manchetes da mídia de dezembro, talvez o ponto mais importante seja não procrastinar! Todos nós devemos ter algum tipo de objetivo para melhorar a velocidade ou a eficiência na proteção de nossos sistemas, então vamos lá.
A Microsoft divulgou duas vulnerabilidades de dia zero em setembro – vulnerabilidade de elevação de privilégio do Exchange Server ( CVE-2022-41040 ) e vulnerabilidade de execução remota de código do Exchange Server ( CVE-2022-41082 ), associadas aos ataques ProxyNotShell. Uma série de mitigações provisórias também foram fornecidas até que os patches fossem lançados em novembro. Se você procrastinou para implantar essas atualizações nos últimos dois meses, agora está correndo um alto risco.
Pesquisadores da Crowdstrike anunciaram que uma nova variedade de ransomware chamada Play está usando o CVE-2022-41080 para acessar um serviço remoto do PowerShell e, em seguida, o CVE-2022-41082 para executar o código remoto. O ponto mais importante aqui é que esse método de acesso por meio dessa nova vulnerabilidade ignora completamente as mitigações provisórias fornecidas pela Microsoft; no entanto, se você instalou as atualizações em tempo hábil, estará protegido. Não procrastine.
Existem razões comerciais pelas quais muitas vezes não podemos nos mover tão rápido quanto gostaríamos, mas quando anúncios de mudanças futuras são fornecidos com anos de antecedência, precisamos planejar e responder. Já se passaram três anos desde que a Microsoft iniciou seu programa Windows 7 e Server 2008/2008 R2 Extended Security Update (ESU) e as atualizações de segurança finais para esses sistemas operacionais serão lançadas na próxima semana. Embora continuem a funcionar bem depois do prazo, novas vulnerabilidades continuarão a ser descobertas e esses sistemas estarão sendo executados com um risco cada vez maior de exploração. Não se esqueça dos aplicativos executados neles também.
O Google anunciou que está abandonando o suporte do Chrome para o Windows 7 em fevereiro de 2023 e que o Chrome 109 será o último a oferecer suporte a esses sistemas operacionais. Em breve, mais fornecedores descontinuarão o suporte de produto para esses sistemas operacionais, portanto, planeje de acordo.
Um lembrete final de que a Microsoft está encerrando o suporte à Autenticação Básica para Exchange Online este mês. Eles postaram outro anúncio pouco antes das férias, colocando todos em aviso final de que ‘o tempo acabou’. Todos os demais inquilinos afetados serão notificados por meio da Central de mensagens uma semana antes de serem desativados e precisarão fazer as alterações necessárias. O anúncio contém KBs vinculados com orientações detalhadas. Você realmente não pode procrastinar este porque em breve perderá o acesso ao Exchange assim que a Microsoft desligar o interruptor.
Previsão do Patch Tuesday de janeiro de 2023
- Não houve atualizações de pré-visualização em dezembro como de costume devido aos feriados, então o primeiro lançamento do ano é sempre interessante. Ao contrário da minha previsão, o lançamento do Patch Tuesday de dezembro foi pequeno em termos de CVEs corrigidos, então prevejo um grande número de CVEs resolvidos nos sistemas operacionais e nas atualizações de aplicativos. Eles também podem querer encerrar o ESU com um conjunto de atualizações importantes para corrigir o máximo de problemas possível.
- O novo primeiro trimestre chegou, então espere uma grande atualização para Adobe Acrobat e Reader.
- A Apple lançou atualizações para Ventura, Monterey, Big Sur, iOS e Safari em meados de dezembro. A menos que um novo dia zero apareça, ele deve ficar quieto no mundo Mac na próxima semana.
- O Google lançou o Stable Channel ChromeOS 108.0.5359.172 e o Long Term Support Channel ChromeOS 102.0.5005.194 no final desta semana, então não prevejo nenhuma outra atualização de curto prazo.
- As últimas atualizações da Mozilla com CVEs relatados são de meados ao final de dezembro para Firefox, Firefox ESR e Thunderbird. Houve lançamentos adicionais desde então, então podemos não ver uma grande atualização deles na próxima semana também.
É um novo ano e tempo para fazer um novo começo. No mês passado, pedi a você que fizesse algumas resoluções de Ano Novo que realmente deseja e pode alcançar, então vamos começar.
FONTE: HELPNET SECURITY