微軟正式發(fā)布了修復(fù)程序，以解決被稱為 Follina 的積極利用的 Windows 零日漏洞，作為其 Patch Tuesday 更新的一部分。才外還解決了55 個(gè)其他缺陷，其中3個(gè)被評(píng)為嚴(yán)重，51 個(gè)被評(píng)為重要，一個(gè)被評(píng)為中等嚴(yán)重程度。另外，Microsoft Edge 瀏覽器還解決了其他五個(gè)缺點(diǎn)。
跟蹤為CVE-2022-30190（CVSS 得分：7.8），零日漏洞與遠(yuǎn)程代碼執(zhí)行漏洞有關(guān)，當(dāng)它使用“ms-msdt：”URI 協(xié)議方案調(diào)用時(shí)影響 Windows 支持診斷工具（MSDT） Word 等應(yīng)用程序。
通過特制的 Word 文檔可以輕松利用該漏洞，該文檔通過 Word 的遠(yuǎn)程模板功能下載并加載惡意 HTML 文件。HTML 文件最終允許攻擊者在 Windows 中加載和執(zhí)行 PowerShell 代碼。
“成功利用此漏洞的攻擊者可以使用調(diào)用應(yīng)用程序的權(quán)限運(yùn)行任意代碼，”微軟在一份公告中表示?！叭缓蠊粽呖梢园惭b程序、查看、更改或刪除數(shù)據(jù)，或者在用戶權(quán)限允許的上下文中創(chuàng)建新帳戶?！?/span>
Follina 的一個(gè)關(guān)鍵方面是利用該漏洞不需要使用宏，因此無需對(duì)手誘騙受害者啟用宏來觸發(fā)攻擊。
自從上個(gè)月底問題的細(xì)節(jié)浮出水面以來，它已被不同的威脅參與者廣泛利用，以釋放各種有效負(fù)載，例如AsyncRAT、QBot 和其他信息竊取程序。有證據(jù)表明，至少?gòu)?2022 年 4 月 12 日起，F(xiàn)ollina 就在野外遭到虐待。
除了CVE-2022-30190，累積安全更新還解決了 Windows 網(wǎng)絡(luò)文件系統(tǒng) ( CVE-2022-30136 )、Windows Hyper-V ( CVE-2022-30163 )、Windows 輕量級(jí)目錄訪問協(xié)議、Microsoft Office、HEVC 視頻擴(kuò)展和 Azure RTOS GUIX Studio。
另一個(gè)值得注意的安全缺陷是CVE-2022-30147（CVSS 評(píng)分：7.8），這是一個(gè)影響 Windows Installer 的特權(quán)提升漏洞，并且已被 Microsoft 標(biāo)記為“更有可能被利用”評(píng)估。
Immersive Labs 網(wǎng)絡(luò)威脅研究主管 Kev Breen 在一份聲明中說：“一旦攻擊者獲得初始訪問權(quán)限，他們就可以將初始訪問級(jí)別提升到管理員級(jí)別，從而可以禁用安全工具?！?“在勒索軟件攻擊的情況下，這會(huì)在加密文件之前利用對(duì)更敏感數(shù)據(jù)的訪問。”
最新一輪補(bǔ)丁還值得注意的是，自 2022 年 1 月以來首次沒有對(duì) Print Spooler 組件進(jìn)行任何更新。它們也隨著微軟表示從 2022 年 6 月 15 日起在 Windows 10 Semi 上正式停止對(duì)Internet Explorer 11的支持而到來。- 年度頻道和 Windows 10 IoT 半年度頻道。
來自其他供應(yīng)商的軟件補(bǔ)丁
除了微軟，自本月初以來，其他供應(yīng)商也發(fā)布了安全更新，以糾正幾個(gè)漏洞，包括：
土坯、AMD、安卓、阿帕奇項(xiàng)目、Atlassian Confluence 服務(wù)器和數(shù)據(jù)中心、思科、思杰、戴爾、GitLab、谷歌瀏覽器、生命值、英特爾、聯(lián)想、Linux 發(fā)行版 Debian、Oracle Linux、Red Hat、SUSE和Ubuntu、聯(lián)發(fā)科、Mozilla Firefox、Firefox ESR 和 Thunderbird、高通、樹液、施耐德電氣、西門子、VMware
聯(lián)系客服
