Patch Tuesday retter en 0-dagsfejl og 64 andre

Af Eskil Sørensen, 15/09/22

Kritisk 0-dagsfejl i Windows under udnyttelse rettet.

Microsoft advarede tirsdag i forbindelse med Patch Tuesday i denne uge, at der er opdaget en kritisk 0-dagssårbarhed i Windows-platformen. Angiveligt er angribere allerede i gang med at udnytte fejlen til at få SYSTEM-privilegier på fuldt patchede Windows-maskiner.

Det skriver Security Week og en række medier.

Fejlen findes i Windows Common Log File System (CLFS), et undersystem, der bruges til data- og hændelseslogning. Dog er der den hindring for angribere, at han/hun allerede skal have adgang og mulighed for at køre kode på det system, der er genstand for angrebet.

Sårbarheden, der har id’et CVE-2022-37969 og en CVSS-score på 7,8, er blevet indrapporteret til Microsoft af hele fire forskellige organisationer. Dette tyder ifølge Security Week på, at den blev brugt i en udnyttelseskæde forbundet med målrettede angreb.

Microsoft har ikke frigivet tekniske detaljer om fejlen eller nogen IOC’ere (indikatorer for kompromittering), så man kan undersøge, om ens systemer er inficeret.

Patch Tuesday retter 64 fejl

Uover den nævnte rettelse håndterer Microsofts Patch Tuesday mindst 64 nye sårbarheder i en bred vifte af Windows- og OS-komponenter, herunder fejl ved fjernafvikling af kode i Dynamics CRM, SharePoint, Office- og Office-komponenter, Windows Defender og den Chromium-baserede Microsoft Edge.

Det anbefales, at Windows-administratorer særligt bør være opmærksomme på disse yderligere problemer:

CVE-2022-34718: Windows TCP/IP fjernudførelsessårbarhed. En kritisk fejl, der kan tillade en ekstern, uautoriseret angriber at udføre kode med forhøjede rettigheder på berørte systemer uden brugerinteraktion. CVSS-score på 9,8.

CVE-2022-34724: Windows DNS Server Denial of Service sårbarhed. Fejlen har en score på 7,5 og vurderes ikke til at medføre risiko for afvikling af kode. Dog kan en ekstern, ikke-godkendt angriber angiveligt skabe en denial-of-service (DoS)-tilstand på DNS-serveren.