Patch Tuesday retter nye 0-dagssårbarheder

Af Eskil Sørensen, 09/11/22

Microsoft håndterer seks 0-dage, her af to gamle fejl i Exhange Server.

Udnyttelse af 0-dagssårbarheder i Microsofts softwareprodukter viser ingen tegn på at blive mindre. Sådan skriver Security Week på baggrund af denne måneds Patch Tuesday fra Microsoft, som også er omtalt i en række andre medier.

I denne måned er der tale om rettelser af bl.a. seks 0-dagssårbarheder, der er under udnyttelse in-the-wild, hvorfor Microsoft opfordrer Windows-administratorer til at håndtere opdateringerne ’with outmost urgency’.

To af fejlene er ældre og har id’erne CVE-2022-4104 og CVE-2022-41082. De påkaldte sig en del opmærksomhed, da de blev kendt i september. Dels fordi de kan føre til fjernafvikling af kode eller eskalering af privilegier, dels fordi de kan udnyttes i en udnyttelseskæde, som efter Microsofts udmeldinger er blevet anvendt af en statssponsoreret trusselsaktør siden august. Fejlene er dokumenteret som hhv. et SSRF-problem (server-side request forgery), der kan udnyttes til privilegieeskalering (CVE-2022-41040) og en fejl ved fjernudførelse af kode, når PowerShell er tilgængelig for angriberen (CVE-2022-41082).

De fire nye udnyttede 0-dage er hhv. CVE-2022-41125, CVE-2022-41073, CVE-2022-41091 og CVE-2022-41128, og de påvirker Windows CNG Key Isolation Service, Windows Print Spooler, Windows Mark of the Web Security og Windows Scripting Languages. Sårbarhederne vedrører eskalering af privilegier, fjernafvikling af kode og feature bypass, der kan tillade en angriber at omgå den sikre opstartsfunktion og indlæse upålidelig eller ondsindet software under opstartsprocessen i Windows. De fire nye 0-dage er blevet tilføjet til CISAs liste over kendte udnyttede sårbarheder, den såkaldte KEV-liste. Deadline til håndtering er sat til 29. november.

I alt er der med Patch Tuesday blevet rettet 64 fejl.