微软2022年首个Patch Tuesday修补96个安全漏洞,其中有6个为零时差漏洞

2022年的开春,企业IT管理人员可能会忙碌一些了,因为微软在今年1月的Patch Tuesday总计修补了96个安全漏洞,其中有9个被列为重大(Critical)漏洞,还有6个为零时差漏洞,不过,相关漏洞尚未遭到黑客开采。

9个重大漏洞分别是开源项目Curl的远程程序攻击漏洞CVE-2021-22947、Active Directory域名服务的权限扩张漏洞CVE-2022-21857、两个DirectX绘图核心的远程程序攻击漏洞CVE-2022-21912与CVE-2022-21898、HEVC Video Extensions远程程序攻击漏洞CVE-2022-21917、HTTP协议架构的远程程序攻击漏洞CVE-2022-21907、Exchange Server远程程序攻击漏洞CVE-2022-21846、Office远程程序攻击漏洞CVE-2022-21840,以及Virtual Machine IDE Drive权限扩张漏洞CVE-2022-21833。

至于6个零时差漏洞中,除了CVE-2021-22947与上述重叠之外,其它5个分别是Libarchive远程程序攻击漏洞CVE-2021-36976、Windows User Profile Service权限扩张漏洞CVE-2022-21919、Windows Certificate欺骗漏洞CVE-2022-21836、Windows Event Tracing Discretionary Access Control List服务阻断漏洞CVE-2022-21839,以及Windows Security Center API远程程序攻击漏洞CVE-2022-21874。

其中,涉及Curl与Libarchive的安全漏洞先前就已被各自的维护者修补,只是微软本周才于Windows中修补它们。

Zero Day Initiative(ZDI)特别点名了4个重要漏洞,包括CVE-2022-21907、CVE-2022-21846、CVE-2022-21840与CVE-2022-21857。黑客只要发送一个特定的封包到一个利用http.sys的系统进行处理,就能开采CVE-2022-21907,取得系统的执行权限,完全不需与用户交互或事先取得特权,并可演变成蠕虫漏洞。且除了服务器之外,Windows客户端也都能执行http.sys,代表所有的版本都受到该漏洞的影响。

微软与ZDI都将CVE-2022-21907列为必须优先修补的漏洞。

微软在本月修补了3个Exchange Server漏洞,虽然它们的CVSS风险评分都高达9,但只有CVE-2022-21846被列为重大等级,它很可能被开采,并让黑客取得Exchange Server的控制权,但前提是黑客必须与目标对象共享实体网络,例如蓝牙、本地端的IP子网络或其它受限的管理域名等。

此外,大多数的Office漏洞都只被列为重大(Important)等级,因为相关漏洞多半需要与用户交互才能开采,而且会跳出警告窗口,然而,CVE-2022-21840漏洞却在用户打开特定的文件时没有任何的警告。

ZDI提醒,此次微软也发布其它更新来修补CVE-2022-21840,应记得一并部署,而Office 2019 for Mac及Microsoft Office LTSC for Mac 2021等版本的修补程序则尚未出炉。