Microsoft ha risolto 98 vulnerabilità nel primo Patch Tuesday del 2022

Microsoft ha dato il via al 2022 risolvendo un totale di 98 vulnerabilità di sicurezza nell’ambito dell’aggiornamento Patch Tuesday di gennaio 2022 inclusi 29 difetti di esecuzione di codice in remoto (RCE) e sei zero-day.

Delle 98 vulnerabilità totali, nove sono state classificate come “critiche”, ovvero con un punteggio CVE di nove o superiore. Tra i problemi di sicurezza più gravi corretti da Microsoft ci sono un paio di RCE, entrambi con punteggi di 9,8/10, che interessano i server Windows e i sistemi IKE (Internet Key Exchange).

Microsoft ha pubblicato un elenco completo di problemi di sicurezza già corretti, con difetti RCE che interessano prodotti come Windows Server, Microsoft Exchange Server, SharePoint Server, suite Microsoft Office, DirectX, Windows Remote Desktop Protocol, Windows Resilient File System e altre aree.

La vulnerabilità RCE più grave, rilevata come CVE-2022-21849, può essere sfruttata con “bassa complessità”, secondo le note sulla patch di Microsoft, e consente agli aggressori non autenticati di attivare più vulnerabilità quando il servizio IPSec è in esecuzione su Windows.

Microsoft Exchange Server ha anche ricevuto cinque correzioni separate per una vulnerabilità RCE valutata in modo critico, tracciata come CVE-2022-21846, con una valutazione di 9,0/10, con un vettore di attacco “adiacente”, il che significa che l’attacco era limitato al livello di protocollo. La National Security Agency (NSA) è stata la prima a notificare a Microsoft questo particolare difetto, che ha attirato l’attenzione su altri problemi di sicurezza di Microsoft Exchange nel corso del 2021.

Per ottenere lo sfruttamento, gli aggressori informatici dovrebbero prima entrare nell’ambiente della vittima, ad esempio trovandosi sulla stessa rete fisica condivisa, via Bluetooth o Wi-Fi. Questo tipo di difetto è comune nelle configurazioni man-in-the-middle, ha affermato Microsoft.

Microsoft Patch Tuesday importante anche per Office

Microsoft ha anche corretto numerosi difetti che interessano la suite Microsoft Office, ma forse il più grave, registrato come CVE-2022-21840, risolve 26 singoli difetti classificati come critici in un’unica vulnerabilità. Ha un punteggio CVE di 8,8/10 e gli aggressori potrebbero ottenere l’esecuzione di codice in remoto sul computer della vittima se la vittima apre un file appositamente predisposto.

Si ritiene che il difetto CVE-2022-21840 sia leggermente meno probabile che venga sfruttato, poiché è richiesta una certa interazione dell’utente (apertura del file), ma Microsoft lo classifica comunque come un exploit “a bassa complessità”, il che significa che gli aggressori possono aspettarsi ripetibili successo contro la componente vulnerabile.

Microsoft ha rilasciato aggiornamenti per PC Windows, che si consiglia di installare, ma alcuni utenti Mac dovranno attendere le patch poiché non sono immediatamente disponibili.

Il bug che interessa i server Windows configurati come server Web, tracciati come CVE-2022-21907, consente agli aggressori non autenticati di inviare pacchetti appositamente predisposti a server presi di mira utilizzando lo stack del protocollo HTTP. Microsoft ha anche affermato che il problema è potenzialmente “wormable” e consiglia di applicare patch a tutti i server interessati come priorità.

Un altro dei difetti più gravi che Microsoft ha corretto questa settimana è quello che ha interessato Internet Key Exchange (IKE), sebbene l’azienda non abbia rivelato tutti i dettagli del problema.

Oltre alla serie di vulnerabilità di sicurezza che interessano i prodotti Microsoft, sono state corrette anche sei giorni zero, sebbene non vi siano indicazioni che qualcuno di essi sia stato attivamente sfruttato.

• CVE-2022-21919 – Vulnerabilità relativa all’aumento dei privilegi del servizio profili utente di Windows
• CVE-2022-21836 – Vulnerabilità della falsificazione dei certificati Windows
• CVE-2022-21839 – Vulnerabilità di Denial of Service dell’elenco di controllo di accesso discrezionale di traccia eventi di Windows
• CVE-2022-21874 – Vulnerabilità dell’esecuzione di codice in modalità remota API Centro sicurezza Windows
• CVE-2021-22947 – Vulnerabilità dell’esecuzione di codice in modalità remota Open Source Curl
• CVE-2021-36976 – Vulnerabilità nell’esecuzione di codice in modalità remota di Libarchive

Nessuno degli zero-day menzionati è stato attivamente sfruttato, ma esiste un codice PoC (Proof-of-concept) disponibile pubblicamente, quindi le aziende dovrebbero dare la priorità all’applicazione di patch prima che si verifichino tentativi di exploit.

LEGGI ANCHE: Exchange Server colpito dal bug dell’anno 2022. Microsoft corre ai ripari