Il gigante tecnologico Microsoft ha distribuito martedì delle correzioni per eliminare 64 nuove falle di sicurezza nella sua linea di software, tra cui una falla zero-day che è stata attivamente sfruttata in attacchi reali.
Dei 64 bug, cinque sono classificati come critici, 57 sono classificati come importanti, uno è classificato come moderato e uno è classificato come di bassa gravità. Le patch si aggiungono alle 16 vulnerabilità che Microsoft ha risolto all’inizio del mese nel suo browser Edge basato su Chromium.
“In termini di CVE rilasciate, questo Patch Tuesday può sembrare più leggero rispetto agli altri mesi”, ha dichiarato Bharat Jogi, direttore della ricerca sulle vulnerabilità e sulle minacce di Qualys, in una dichiarazione condivisa con The Hacker News.
“Tuttavia, questo mese ha raggiunto una pietra miliare considerevole per l’anno solare, con MSFT che ha corretto la millesima CVE del 2022 – probabilmente sulla buona strada per superare il 2021, che ha patchato 1.200 CVE in totale”.
La vulnerabilità attivamente sfruttata in questione è CVE-2022-37969 (punteggio CVSS: 7,8), una falla di privilege escalation che riguarda il driver del Common Log File System (CLFS) di Windows, che potrebbe essere sfruttata da un avversario per ottenere privilegi di SISTEMA su una risorsa già compromessa.
“Un attaccante deve avere già accesso e la possibilità di eseguire codice sul sistema di destinazione. Questa tecnica non consente l’esecuzione di codice in remoto nei casi in cui l’aggressore non abbia già tale capacità sul sistema di destinazione”, ha dichiarato Microsoft in un avviso.
CVE-2022-37969 è anche la seconda falla zero-day attivamente sfruttata nel componente CLFS dopo CVE-2022-24521 (punteggio CVSS: 7,8) dall’inizio dell’anno, quest’ultima risolta da Microsoft nell’ambito degli aggiornamenti del Patch Tuesday di aprile 2022.
Non è immediatamente chiaro se CVE-2022-37969 sia un bypass della patch per CVE-2022-24521. Altre falle critiche degne di nota sono le seguenti:
- CVE-2022-34718 (punteggio CVSS: 9,8) – Vulnerabilità di esecuzione di codice remoto di Windows TCP/IP
- CVE-2022-34721 (punteggio CVSS: 9,8) – Vulnerabilità di esecuzione di codice remoto delle estensioni del protocollo Internet Key Exchange (IKE) di Windows
- CVE-2022-34722 (punteggio CVSS: 9,8) – Vulnerabilità delle estensioni del protocollo Windows Internet Key Exchange (IKE) per l’esecuzione di codice remoto
- CVE-2022-34700 (punteggio CVSS: 8,8) – Vulnerabilità di esecuzione di codice remoto di Microsoft Dynamics 365 (on-premises)
- CVE-2022-35805 (punteggio CVSS: 8,8) – Vulnerabilità di Microsoft Dynamics 365 (on-premises) per l’esecuzione di codice remoto
“Un aggressore non autenticato potrebbe inviare un pacchetto IP appositamente creato a un computer di destinazione che esegue Windows e ha IPSec abilitato, il che potrebbe consentire l’esecuzione di codice remoto”, ha dichiarato Microsoft in merito a CVE-2022-34721 e CVE-2022-34722.
Microsoft ha inoltre risolto 15 difetti di esecuzione di codice remoto in Microsoft ODBC Driver, Microsoft OLE DB Provider per SQL Server e Microsoft SharePoint Server e cinque bug di escalation dei privilegi che riguardano Windows Kerberos e Windows Kernel.
La release di settembre si distingue anche per la correzione di un’altra vulnerabilità di elevazione dei privilegi nel modulo Print Spooler (CVE-2022-38005, punteggio CVSS: 7,8) che potrebbe essere sfruttata per ottenere permessi di livello SYSTEM.
Infine, tra gli aggiornamenti di sicurezza è inclusa una correzione rilasciata dal chipmaker Arm per una vulnerabilità di esecuzione speculativa chiamata Branch History Injection o Spectre-BHB (CVE-2022-23960), emersa all’inizio di marzo.
“Questa classe di vulnerabilità rappresenta un grosso grattacapo per le organizzazioni che cercano di mitigarla, poiché spesso richiede aggiornamenti dei sistemi operativi, del firmware e, in alcuni casi, la ricompilazione delle applicazioni e l’hardening”, ha dichiarato Jogi. “Se un aggressore riesce a sfruttare questo tipo di vulnerabilità, può ottenere l’accesso a informazioni sensibili”.
Patch software di altri fornitori
Oltre a Microsoft, dall’inizio del mese sono stati rilasciati aggiornamenti di sicurezza da parte di altri produttori per correggere decine di vulnerabilità, tra cui:
- Adobe
- Android
- Apache Projects
- Apple
- Cisco
- Citrix
- Dell
- F5
- Fortinet
- GitLab
- Google Chrome
- HP
- IBM
- Lenovo
- Linux distributions Debian, Oracle Linux, Red Hat, SUSE, and Ubuntu
- MediaTek
- NVIDIA
- Qualcomm
- Samba
- SAP
- Schneider Electric
- Siemens
- Trend Micro
- VMware, and
- WordPress (which is dropping support for versions 3.7 through 4.0 starting December 1, 2022)
