0 
0 A Terça-feira de Patch de fevereiro de 2022 está aqui e é tudo em torno de “luz” – luz em vulnerabilidades numeradas cve fixas (51), extremamente leve em correções críticas (50 são “importantes” e uma é “moderada”), e luz em vulnerabilidades exploradas (nenhuma das vulnerabilidades são listadas como sob ataque ativo).
Apenas um é listado como conhecido publicamente – CVE-2022-21989, uma falha do EOP do Windows Kernel – mas, embora aparentemente haja uma exploração poc por aí (não necessariamente pública), “a exploração bem-sucedida dessa vulnerabilidade exige que um invasor tome ações adicionais antes da exploração para preparar o ambiente alvo”.
A Microsoft também observou que a exploração da vulnerabilidade poderia ser realizada a partir de um appContainer de baixo privilégio. “O invasor poderia elevar seus privilégios e executar recursos de código ou acesso em um nível de integridade mais alto do que o do ambiente de execução do AppContainer”, disseram eles.
Outras vulnerabilidades de nota
Dustin Childs, da Trend Micro’s Zero Day Initiative, aconselha os administradores dos servidores Windows DNS a considerar o CVE-2022-21984, uma falha rce, crítica.
“O servidor só é afetado se as atualizações dinâmicas estiverem ativadas, mas esta é uma configuração relativamente comum. Se você tiver essa configuração em seu ambiente, um invasor pode assumir completamente seu DNS e executar código com privilégios elevados”, alertou.
Ele também observou que os administradores corporativos que supervisionam servidores Hyper-V devem corrigir para cve-2022-21995, uma vulnerabilidade do Windows Hyper-V RCE, apesar do fato de que a complexidade de um ataque bem-sucedido explorando-o é classificada como “Alta”.
Os usuários de Mac do Microsoft Outlook também podem querer corrigir o CVE-2022-23280, uma vulnerabilidade de bypass de recursos, rapidamente. “Esse bug do Outlook pode permitir que as imagens apareçam automaticamente no Painel de Visualização, mesmo que essa opção seja desativada. Por si só, explorar isso só exporá as informações ip do alvo. No entanto, é possível que um segundo bug que afete a renderização da imagem possa ser emparelhado com esse bug para permitir a execução remota do código”, explicou Childs.
Danny Kim, arquiteto principal da Virsec, observou que é interessante que a Microsoft republicou um CVE-2013-3900, uma vulnerabilidade de 2013, para notificar os clientes de que uma atualização para o Windows 10/11 está disponível que o aborda.
“O CVE permite que um invasor injete código malicioso em um aplicativo assinado sem invalidar a assinatura original do arquivo. Com a capacidade de injetar código malicioso em aplicativos ‘verificados’, o invasor pode ganhar controle completo sobre um sistema especialmente se o usuário que executa o aplicativo tiver privilégios administrativos. O invasor pode ir tão longe quanto criar novas contas de usuário com acesso total permitindo que o invasor faça login na máquina à vontade”, disse ele ao Help Net Security.
“Esse tipo de CVE, embora seja originalmente a partir de 2013, destaca dois fatos que ainda são relevantes hoje: a correção é uma solução em movimento lento e os aplicativos precisam ser monitorados o tempo todo. Patching é uma solução pós-ataque que se move muito lentamente para acompanhar os ataques de hoje. Os aplicativos, mesmo os verificados, não podem ser verificados apenas quando iniciam a execução – seu comportamento ao longo da vida do aplicativo precisa ser monitorado e verificado contra o comportamento esperado.”
Satnam Narang, engenheiro de pesquisa da Tenable, destacou quatro elevações de vulnerabilidades de privilégio em seu Windows Print Spooler, incluindo duas consideradas Exploração Mais Provável.
“Uma dessas duas falhas, cve-2022-21999, é creditada aos pesquisadores da Sangfor, que foram responsáveis por divulgar algumas das vulnerabilidades do PrintNightmare no verão passado. Devido à onipresença do Print Spooler, vulnerabilidades como esta foram aproveitadas por grupos de ransomware. As organizações devem aplicar esses patches o mais rápido possível”, aconselha.
Finalmente, Kevin Breen, diretor de pesquisa de ameaças cibernéticas da Immersive Labs, observou que a Microsoft lançou mais patches para o mesmo estilo de vulnerabilidade (e no mesmo componente) que o CVE-2022-21882, uma vulnerabilidade no Win32k que está sendo ativamente explorada na natureza, o que levou a CISA a emitir uma diretiva a todas as agências federais para ordenar que os patches sejam aplicados.
“Não está claro nas notas de lançamento se esta é uma vulnerabilidade nova ou se está relacionada com a atualização do mês anterior. De qualquer forma, vimos os atacantes aproveitarem essa vulnerabilidade, então é mais seguro errar no lado da cautela e atualizar isso rapidamente”, diz ele.
FONTE: HELPNET SECURITY