Patch Tuesday, November 2022 Election Edition – Krebs on Security

Seien wir ehrlich: „Wahl 2022“ in dieser Headline oben zu nach sich ziehen, ist wahrscheinlich dieser einzige Grund, warum Leckermaul jene Vergangenheit heute Vorlesung halten könnte. Obwohl die meisten von uns hier in den Vereinigten Staaten gespannt gen die Ergebnisse warten, wie gut wir unsrige Volksherrschaft gepatcht nach sich ziehen, scheint es rational zu sein Microsoft Corp. veröffentlichte heute haufenweise Sicherheitspatches z. Hd. seine allgegenwärtigen Windows Betriebssysteme. Dieser Patch-Batch vom November enthält Korrekturen z. Hd. satte sechs Zero-Day-Sicherheitslücken die Schurken und Schadsoftware schon in freier Wildbahn ausnutzen.

Dieser wahrscheinlich gruseligste dieser Zero-Day-Fehler ist CVE-2022-41128, eine „kritische“ Schwachstelle in den Windows-Skriptsprachen, die dazu verwendet werden könnte, anfälligen Benutzern bösartige Software unterzuschieben, die nichts weiter tun, denn zu einer gehackten oder bösartigen Website zu steuern nutzt die Schwäche aus. Microsoft-Gutschriften Google mit dem Melden dieser Schwachstelle, die zusammensetzen CVSS-Score von 8,8 erhielt.

CVE-2022-41073 ist ein Zero-Day-Fehler in dieser Windows-Druckspoolereine Windows-Komponente, die Microsoft im vergangenen Jahr mächtig gepatcht hat. Kevin BreenRektor dieser Cyber-Bedrohungsforschung unter Immersive Laborestellte starr, dass dieser Druckspooler in den letzten 12 Monaten ein beliebtes Ziel z. Hd. Schwachstellen war, womit dies dieser 9. Patch ist.

Dieser dritte Zero-Day-Patch, den Microsoft diesen Monat gepatcht hat, ist CVE-2022-41125, unter dem es sich um eine „Elevation of Privilege“-Schwachstelle in dieser Windows Cryptography API handelt: Next Generation (CNG) Key Isolation Tafelgeschirr, einem Tätigkeit zum Isolieren privater Schlüssel. Satnam Narangleitender Forschungsingenieur unter Haltbarsagte, dass die Verwendung dieser Schwachstelle einem Angreifer SYSTEM-Privilegien gewähren könnte.

Dieser vierte Zero-Day, CVE-2022-41091, wurde schon im zehnter Monat des Jahres offengelegt und lang und breit darüber berichtet. Es handelt sich um eine Umgehungsstraße dieser Sicherheitsfunktion von „Windows Mark of the Web“ – einem Zusammenhang, dieser Dateien kennzeichnen soll, die aus einer nicht vertrauenswürdigen Quelle stammen.

Die anderen beiden Zero-Day-Bugs, die Microsoft diesen Monat gepatcht hat, betrafen Schwachstellen, die ausgenutzt wurden Verständigung server. Finale September 2022 tauchte die Nachricht gen, dass jene beiden Exchange-Fehler in freier Wildbahn ausgenutzt wurden, und viele waren überrascht, denn Microsoft den Patchday im zehnter Monat des Jahres verstreichen ließ, ohne offizielle Patches z. Hd. sie herauszugeben (dies Unternehmen gab stattdessen Anweisungen zur Schadensbegrenzung hervor, die es vielfach umschreiben musste mal). Dieser heutige Patch-Stapel behebt jedwederlei Probleme.

Gregor WeisemannProduktmanager unter Rapid7sagte, dass die Exchange-Schwachstelle CVE-2022-41040 eine „kritische“ Sicherheitsanfälligkeit in Bezug auf dieser Erhöhung von Berechtigungen ist, und CVE-2022-41082 wird denn wichtig wertgeschätzt, welches Remote Programmcode Execution (RCE) ermöglicht, wenn PowerShell z. Hd. den Angreifer zugänglich ist.

„Beiderlei Sicherheitslücken wurden in freier Wildbahn ausgenutzt“, sagte Wiseman. „Vier weitere CVEs, die Exchange Server in Verbindung stehen zu, wurden diesen Monat ebenfalls behandelt. Drei werden denn „Wichtig“ eingestuft, und CVE-2022-41080 ist eine weitere Schwachstelle in Bezug auf dieser Rechteausweitung, die denn „Unbequem“ eingestuft wird. Kunden wird empfohlen, ihre Exchange Server-Systeme unverzüglich zu updaten, unabhängig davon, ob zuvor empfohlene Minderungsschritte angewendet wurden. Die Minderungsregeln werden nicht mehr empfohlen, wenn Systeme gepatcht wurden.“

Adobe Normalerweise veröffentlicht dies Unternehmen Sicherheitsupdates z. Hd. seine Produkte am Patch Tuesday, nichtsdestoweniger in diesem Monat nicht. Um zusammensetzen genaueren Blick gen die Patches zu werfen, die heute von Microsoft veröffentlicht und nachher Schweregrad und anderen Metriken indiziert sind, sehen Sie sich die immer nützliche Zusammenfassung des Patch-Dienstags von an SANS WWW Storm Center. Und es ist keine schlechte Idee, die Aktualisierung ein paar Tage hinauszuzögern, solange bis Microsoft irgendwelche Fehler in den Updates ausarbeitet: AskWoody.com hat normalerweise die Fakten zu allen Patches, die Windows-Benutzern Probleme konfektionieren könnten.

Denken Sie wie immer daran, Ihr System oder zumindest Ihre wichtigen Dokumente und Wissen zu sichern, ehe Sie Systemaktualisierungen anwenden. Und wenn Sie gen Probleme mit diesen Updates stoßen, vererben Sie Fürbitte eine Notiz hier in den Kommentaren.