پچ سه شنبه نوامبر 2022 مایکروسافت 6 نقص امنیتی روز صفر را برطرف می کند


TL;DR: مایکروسافت آخرین سری وصله های طراحی شده برای رفع اشکالات ویندوز و سایر محصولات نرم افزاری محبوب را منتشر کرده است. مهم ترین به روز رسانی ها مربوط به شش نقص روز صفر است، از جمله دو باگ Exchange کشف شده در سپتامبر که هنوز برای سرورهای ایمیل در سراسر جهان خطرناک هستند.

در حدود 20 سال گذشته، هر سه‌شنبه دوم ماه، مایکروسافت مجموعه جدیدی از به‌روزرسانی‌های امنیتی را برای محصولات نرم‌افزاری پرطرفدار (و همچنان پشتیبانی‌شده) خود منتشر کرده است. پچ سه‌شنبه نوامبر ۲۰۲۲ بسیار مهم است، زیرا شامل وصله‌های جداگانه برای شش آسیب‌پذیری امنیتی صفر روز است که قبلاً در طبیعت مورد سوء استفاده قرار گرفته‌اند.

به‌روزرسانی‌های امنیتی نوامبر 2022 شامل رفع 68 نقص امنیتی موجود در مؤلفه‌های Windows، Visual Studio، ابزارهای SysInternals، Office، Azure، .NET Framework، Dynamics، Exchange Server و غیره است. یازده مورد از این نقص ها به عنوان “بحرانی” طبقه بندی می شوند، به این معنی که می توان از آنها برای اجازه دادن به افزایش امتیاز، جعل اطلاعات، یا اجرای از راه دور کد مخرب سوء استفاده کرد.

68 آسیب پذیری رفع شده در این وصله سه شنبه شامل انواع باگ های امنیتی زیر است: 27 Elevation of Privilege Vulnerabilities. 4 آسیب پذیری دور زدن ویژگی امنیتی. 16 آسیب پذیری اجرای کد از راه دور. 11 آسیب پذیری افشای اطلاعات. 6 آسیب پذیری انکار سرویس. 3 آسیب پذیری جعل

این لیست شامل دو آسیب‌پذیری خطرناک OpenSSL نمی‌شود که قبلاً در ابتدای نوامبر فاش شده بودند.

غذای اصلی برای سه شنبه پچ نوامبر، شش رفع نقص روز صفر ذکر شده در بالا هستند، زیرا قبلاً به صورت عمومی افشا شده بودند و به طور بالقوه بدون هیچ گونه اصلاح رسمی تاکنون مورد سوء استفاده قرار می گیرند:

  • CVE-2022-41128، یک «آسیب‌پذیری اجرای کد از راه دور زبان‌های اسکریپت ویندوز» که نیازمند دسترسی کاربر با نسخه آسیب‌دیده ویندوز به سرور مخرب است.
  • CVE-2022-41091، یک “آسیب پذیری دور زدن ویژگی امنیتی وب در ویندوز” که در آن یک فایل مخرب خاص ساخته شده (به عنوان مثال یک فایل Zip حاوی یک فایل فقط خواندنی) می تواند از دفاع های مبتنی بر Mark-of-the-Web فرار کند.
  • CVE-2022-41073، یک “آسیب پذیری امتیاز پرینت اسپولر ویندوز” که می تواند برای به دست آوردن امتیازات SYSTEM استفاده شود.
  • CVE-2022-41125، یک “سرویس جداسازی کلید ویندوز CNG افزایش آسیب پذیری امتیاز” برای به دست آوردن امتیازات سطح سیستم.
  • CVE-2022-41040، یک «آسیب‌پذیری ارتقای امتیاز سرور مایکروسافت» که می‌تواند برای اجرای PowerShell در متن سیستم مورد سوء استفاده قرار گیرد.
  • CVE-2022-41082، یک “آسیب پذیری اجرای کد از راه دور Microsoft Exchange Server” برای اجرای کدهای مخرب از راه دور بر روی سرورهای آسیب پذیر.

دو وصله آخر خطر امنیتی در Microsoft Exchange را که در اواخر سپتامبر فاش شده بود و به طور غیررسمی به نام “ProxyNotShell” شناخته می شد، می بندد.

به‌روزرسانی KB5019758 برای Microsoft Exchange Server 2019، 2016 و 2013 به‌عنوان بخشی از بارگیری‌های خودکار Windows Update یا به‌عنوان یک بسته مستقل که از طریق مرکز دانلود مایکروسافت در دسترس است، در دسترس است.



منبع