Ważna aktualizacja wydana przez Microsoft

Microsoft wydaje poprawki na In-the-Wild 0-day i 55 innych błędów w systemie Windows

Microsoft wydał we wtorek poprawki dla 56 błędów, w tym dla krytycznej luki, o której wiadomo, że jest aktywnie wykorzystywana przez hakerów.

W sumie, 11 z nich jest wymienionych jako krytyczne, 43 jako ważne, a dwie jako umiarkowanie poważne – sześć z nich to wcześniej ujawnione luki.

Aktualizacje dotyczą .NET Framework, Azure IoT, Microsoft Dynamics, Microsoft Edge dla Androida, Microsoft Exchange Server, Microsoft Office, Microsoft Windows Codecs Library, Skype for Business, Visual Studio, Windows Defender oraz innych kluczowych komponentów, takich jak Kernel, TCP/IP, Print Spooler i Remote Procedure Call (RPC).

Najbardziej krytyczną z tych dziur jest błąd w systemie Windows Win32k (CVE-2021-1732, CVSS score 7.8), który pozwala atakującym na uruchomienie złośliwego kodu z rozszerzonymi uprawnieniami. Microsoft przypisał JinQuan, MaDongZe, TuXiaoYi oraz LiHao z DBAPPSecurity odkrycie i zgłoszenie luki.

Aktualizacja Microsoftu z wtorku (Patch Tuesday) usuwa również szereg błędów związanych ze zdalnym wykonywaniem kodu (RCE) w Windows DNS Server (CVE-2021-24078), .NET Core i Visual Studio (CVE-2021-26701), Microsoft Windows Codecs Library (CVE-2021-24081) oraz Fax Service (CVE-2021-1722 i CVE-2021-24077).

RCE w komponencie serwera DNS Windows otrzymał ocenę 9.8 pod względem dotkliwości, co czyni go krytyczną luką, która, jeśli nie zostanie załatana, może pozwolić osobie nieupoważnionej na wykonanie dowolnego kodu i potencjalne przekierowanie legalnego ruchu do złośliwych serwerów.

Microsoft wykorzystuje ten miesiąc, aby wprowadzić drugą rundę poprawek dla luki Zerologon (CVE-2020-1472), która została pierwotnie usunięta w sierpniu 2020 r., po czym we wrześniu 2020 r. pojawiły się doniesienia o aktywnym wykorzystaniu luki w niezałatanych systemach.

Od 9 lutego kontroler domeny będzie domyślnie włączony w „trybie wymuszonym” (enforcement mode), blokując w ten sposób „podatne na ataki połączenia [Netlogon] z urządzeń niezgodnych z wymaganiami.”

Ponadto, aktualizacja Patch Tuesday usuwa błąd w przeglądarce Edge dla Androida (CVE-2021-24100), który mógł ujawnić informacje umożliwiające identyfikację osoby oraz informacje o płatnościach użytkownika.

Błędy RCE w stosie TCP/IP systemu Windows
Wreszcie, producent Windows opublikował zestaw poprawek dotyczących implementacji TCP/IP – składający się z dwóch błędów RCE (CVE-2021-24074 i CVE-2021-24094) i jednej luki typu denial of service (CVE-2021-24086) – które według producenta mogą być wykorzystane do ataku DoS.

„Exploity DoS dla tych CVEs pozwoliłyby zdalnemu napastnikowi na wywołanie błędu zatrzymania (stop error)”, oświadczył Microsoft w komunikacie. „Klienci mogą otrzymać niebieski ekran (blue screen – znany użytkownikom Windows „ekran śmierci” 🙂 ) na każdym systemie Windows, który jest bezpośrednio wystawiony na dostęp do Internetu z minimalnym ruchem sieciowym. Dlatego zalecamy klientom szybkie przejście do stosowania aktualizacji zabezpieczeń systemu Windows w tym miesiącu.”