- Redmondští úředníci řešili spoustu problémů s uvedením tohoto měsíce, více, než se očekávalo.
- The Chyba zabezpečení aplikace Microsoft Word pro vzdálené spuštění kódu byl považován za kritický.
- Za kritické bylo považováno také Chyba zabezpečení vzdáleného spuštění kódu systému Windows Hyper-V.
- Tento článek obsahuje úplný seznam aktualizací zabezpečení, které byly vydány v říjnu 2021.
Dnes je opravné úterý společnosti Microsoft z října 2021 a s ním přichází opravy čtyř zranitelností zero-day a celkem 74 chyb.
Společnost Microsoft dnešní aktualizací opravil 74 zranitelností (81 včetně Microsoft Edge), přičemž tři byly klasifikovány jako kritické, 70 jako důležité a jedna jako nízká.
Opraveny 4 zranitelnosti zero-days, z nichž jedna je aktivně využívána
Těchto 81 zranitelností, které se opravují během tohoto měsíce, je rozděleno do kategorií takto:
- 21 Zvýšení zranitelnosti oprávnění
- 6 Bezpečnostní funkce Obejití zranitelnosti
- 20 Chyby zabezpečení při vzdáleném spuštění kódu
- 13 Zranitelnosti zpřístupnění informací
- 5 Chyby zabezpečení týkající se odmítnutí služby
- 9 Zranitelnosti falšování
Říjnové opravné úterý obsahuje opravy čtyř zranitelností zero-day, se zranitelností Win32k Elevation of Privilege Vulnerability, o které je známo, že byla aktivně využívána při útocích.
Microsoft klasifikuje zranitelnost jako zero-day, pokud je veřejně odhalena nebo aktivně využívána bez dostupné oficiální opravy.
Aktivně využívanou zranitelnost objevil Boris Larin z Kaspersky (oct0xor) a umožňuje malwaru nebo hrozbám získat zvýšená oprávnění na zařízení se systémem Windows.
IronHusky APT používá zero-day na serverech Windows #MysterySnail#PatchTuesday#itw0 dníhttps://t.co/QnhtJyNfdD
— Boris Larin (@oct0xor) 12. října 2021
- CVE-2021-40449 – Zranitelnost Win32k Elevation of Privilege
Kaspersky zveřejněno že tuto zranitelnost využili aktéři hrozeb v „rozsáhlých špionážních kampaních proti IT společnostem, vojenským/obranným dodavatelům a diplomatickým subjektům“.
V rámci útoků aktéři hrozeb nainstalovali trojan pro vzdálený přístup (RAT), který byl zvýšen s vyššími oprávněními pomocí zranitelnosti systému Windows zero-day.
Kaspersky tedy nazývá tento shluk škodlivé aktivity MysterSnail a je připisován aktivitě IronHusky a čínsky mluvícím APT aktivitám.
Microsoft také opravil tři další veřejně odhalené chyby zabezpečení, o kterých není známo, že by byly zneužity při útocích.
- CVE-2021-40469 – Chyba zabezpečení vzdáleného spuštění kódu serveru DNS systému Windows
- CVE-2021-41335 – Chyba zabezpečení zvýšení úrovně oprávnění jádra systému Windows
- CVE-2021-41338 – Pravidla zabezpečení Windows AppContainer Firewall funkce obejít chybu zabezpečení
Další společnosti také vydaly důležité aktualizace
- od společnosti AdobeŘíjnové bezpečnostní aktualizace byly vydány pro různé aplikace.
- Android Minulý týden byly vydány říjnové bezpečnostní aktualizace.
- Apache vydala HTTP Web Server 2.4.51 k opravě nekonkurenční opravy aktivně využívané chyby zabezpečení.
- Jablko propuštěn bezpečnostní aktualizace pro iOS a iPadOS včera aktivně využívala zranitelnost zero-day.
- Ciscovydala bezpečnostní aktualizace pro mnoho produktů tento měsíc.
- MÍZApropuštěn jeho aktualizace zabezpečení z října 2021.
- VMwarevydala aktualizaci zabezpečení pro operace VMware vRealize.
Aktualizace zabezpečení pro tento měsíc
Níže je uveden úplný seznam vyřešených zranitelností a vydaných upozornění v aktualizacích Patch Tuesday z října 2021. Chcete-li získat přístup k úplnému popisu každé zranitelnosti a systémů, které ovlivňuje, můžete zobrazit celá zpráva zde.
| Štítek | CVE ID | Název CVE | Vážnost |
|---|---|---|---|
| .NET Core a Visual Studio | CVE-2021-41355 | Chyba zabezpečení .NET Core a Visual Studio zpřístupnění informací | Důležité |
| Active Directory Federation Services | CVE-2021-41361 | Chyba zabezpečení falšování serveru Active Directory Federation Server | Důležité |
| Hostitel okna konzoly | CVE-2021-41346 | Funkce zabezpečení hostitele okna konzoly obchází chybu zabezpečení | Důležité |
| HTTP.sys | CVE-2021-26442 | Chyba zabezpečení vyšší úrovně oprávnění Windows HTTP.sys | Důležité |
| Základní knihovna Microsoft DWM | CVE-2021-41339 | Chyba zabezpečení zvýšení úrovně oprávnění základní knihovny Microsoft DWM | Důležité |
| Microsoft Dynamics | CVE-2021-40457 | Chyba zabezpečení skriptování mezi weby Microsoft Dynamics 365 Customer Engagement | Důležité |
| Microsoft Dynamics | CVE-2021-41353 | Chyba zabezpečení Microsoft Dynamics 365 (on-premises) týkající se falšování | Důležité |
| Microsoft Dynamics | CVE-2021-41354 | Chyba zabezpečení skriptování mezi weby Microsoft Dynamics 365 (místní). | Důležité |
| Microsoft Edge (založené na prohlížeči Chromium) | CVE-2021-37978 | Chromium: CVE-2021-37978 Přetečení vyrovnávací paměti haldy v Blink | Neznámý |
| Microsoft Edge (založené na prohlížeči Chromium) | CVE-2021-37979 | Chromium: CVE-2021-37979 Přetečení vyrovnávací paměti haldy ve WebRTC | Neznámý |
| Microsoft Edge (založené na prohlížeči Chromium) | CVE-2021-37980 | Chromium: CVE-2021-37980 Nevhodná implementace v izolovaném prostoru | Neznámý |
| Microsoft Edge (založené na prohlížeči Chromium) | CVE-2021-37977 | Chromium: CVE-2021-37977 Použít zdarma v Garbage Collection | Neznámý |
| Microsoft Edge (založené na prohlížeči Chromium) | CVE-2021-37974 | Chromium: CVE-2021-37974 Používejte po bezplatném procházení v Bezpečném prohlížení | Neznámý |
| Microsoft Edge (založené na prohlížeči Chromium) | CVE-2021-37975 | Chromium: CVE-2021-37975 Používejte ve verzi 8 zdarma | Neznámý |
| Microsoft Edge (založené na prohlížeči Chromium) | CVE-2021-37976 | Chromium: CVE-2021-37976 Únik informací v jádru | Neznámý |
| Microsoft Exchange Server | CVE-2021-26427 | Chyba zabezpečení vzdáleného spuštění kódu serveru Microsoft Exchange Server | Důležité |
| Microsoft Exchange Server | CVE-2021-34453 | Chyba zabezpečení Microsoft Exchange Server Denial of Service | Důležité |
| Microsoft Exchange Server | CVE-2021-41348 | Chyba zabezpečení vyšší úrovně oprávnění Microsoft Exchange Server | Důležité |
| Microsoft Exchange Server | CVE-2021-41350 | Chyba zabezpečení Microsoft Exchange Server spoofing | Důležité |
| Komponenta Microsoft Graphics | CVE-2021-41340 | Chyba zabezpečení vzdáleného spuštění kódu grafické součásti systému Windows | Důležité |
| Microsoft Intune | CVE-2021-41363 | Funkce zabezpečení rozšíření Intune Management Obejití zranitelnosti | Důležité |
| Microsoft Office Excel | CVE-2021-40473 | Chyba zabezpečení vzdáleného spuštění kódu aplikace Microsoft Excel | Důležité |
| Microsoft Office Excel | CVE-2021-40472 | Chyba zabezpečení zpřístupnění informací aplikace Microsoft Excel | Důležité |
| Microsoft Office Excel | CVE-2021-40471 | Chyba zabezpečení vzdáleného spuštění kódu aplikace Microsoft Excel | Důležité |
| Microsoft Office Excel | CVE-2021-40474 | Chyba zabezpečení vzdáleného spuštění kódu aplikace Microsoft Excel | Důležité |
| Microsoft Office Excel | CVE-2021-40485 | Chyba zabezpečení vzdáleného spuštění kódu aplikace Microsoft Excel | Důležité |
| Microsoft Office Excel | CVE-2021-40479 | Chyba zabezpečení vzdáleného spuštění kódu aplikace Microsoft Excel | Důležité |
| Microsoft Office SharePoint | CVE-2021-40487 | Chyba zabezpečení vzdáleného spuštění kódu serveru Microsoft SharePoint Server | Důležité |
| Microsoft Office SharePoint | CVE-2021-40483 | Chyba zabezpečení týkající se falšování serveru Microsoft SharePoint Server | Nízký |
| Microsoft Office SharePoint | CVE-2021-40484 | Chyba zabezpečení týkající se falšování serveru Microsoft SharePoint Server | Důležité |
| Microsoft Office SharePoint | CVE-2021-40482 | Chyba zabezpečení zpřístupnění informací serveru Microsoft SharePoint Server | Důležité |
| Microsoft Office SharePoint | CVE-2021-41344 | Chyba zabezpečení vzdáleného spuštění kódu serveru Microsoft SharePoint Server | Důležité |
| Microsoft Office Visio | CVE-2021-40480 | Chyba zabezpečení vzdáleného spuštění kódu aplikace Microsoft Office Visio | Důležité |
| Microsoft Office Visio | CVE-2021-40481 | Chyba zabezpečení vzdáleného spuštění kódu aplikace Microsoft Office Visio | Důležité |
| Microsoft Office Word | CVE-2021-40486 | Chyba zabezpečení aplikace Microsoft Word pro vzdálené spuštění kódu | Kritické |
| Knihovna kodeků Microsoft Windows | CVE-2021-40462 | Chyba zabezpečení vzdáleného spuštění kódu dekodéry Windows Media Foundation Dolby Digital Atmos | Důležité |
| Knihovna kodeků Microsoft Windows | CVE-2021-41330 | Chyba zabezpečení vzdáleného spuštění kódu Microsoft Windows Media Foundation | Důležité |
| Knihovna kodeků Microsoft Windows | CVE-2021-41331 | Chyba zabezpečení vzdáleného spuštění kódu Windows Media Audio Decoder | Důležité |
| Ovládací prvek pro úpravy formátovaného textu | CVE-2021-40454 | Chyba zabezpečení pro zpřístupnění informací ve formátu RTF | Důležité |
| Role: DNS server | CVE-2021-40469 | Chyba zabezpečení vzdáleného spuštění kódu serveru DNS systému Windows | Důležité |
| Role: Windows Active Directory Server | CVE-2021-41337 | Funkce zabezpečení služby Active Directory obchází chybu zabezpečení | Důležité |
| Role: Windows AD FS Server | CVE-2021-40456 | Funkce zabezpečení služby Windows AD FS obchází chybu zabezpečení | Důležité |
| Role: Windows Hyper-V | CVE-2021-40461 | Chyba zabezpečení vzdáleného spuštění kódu systému Windows Hyper-V | Kritické |
| Role: Windows Hyper-V | CVE-2021-38672 | Chyba zabezpečení vzdáleného spuštění kódu systému Windows Hyper-V | Kritické |
| System Center | CVE-2021-41352 | Chyba zabezpečení SCOM zpřístupnění informací | Důležité |
| Vizuální studio | CVE-2020-1971 | OpenSSL: CVE-2020-1971 EDIPARTYNAME NULL ukazatel de-reference | Důležité |
| Vizuální studio | CVE-2021-3450 | OpenSSL: CVE-2021-3450 obejít kontrolu certifikátu CA pomocí X509_V_FLAG_X509_STRICT | Důležité |
| Vizuální studio | CVE-2021-3449 | OpenSSL: CVE-2021-3449 NULL pointer deref ve zpracování signature_algorithms | Důležité |
| Windows AppContainer | CVE-2021-41338 | Pravidla brány firewall systému Windows AppContainer Funkce zabezpečení Obejití zranitelnosti | Důležité |
| Windows AppContainer | CVE-2021-40476 | Chyba zabezpečení zvýšení úrovně oprávnění ve Windows AppContainer | Důležité |
| Služba Windows AppX Deployment Service | CVE-2021-41347 | Chyba zabezpečení zvýšení úrovně oprávnění služby Windows AppX Deployment Service | Důležité |
| Ovladač vazebního filtru systému Windows | CVE-2021-40468 | Chyba zabezpečení týkající se zpřístupnění informací ovladače Windows Bind Filter | Důležité |
| Ovladač mini filtru Windows Cloud Files | CVE-2021-40475 | Chyba zabezpečení zpřístupnění informací ovladače minifiltru Windows Cloud Files | Důležité |
| Windows Common Log File System Driver | CVE-2021-40443 | Chyba zabezpečení zvýšení úrovně oprávnění ovladače systému Windows Common Log File System | Důležité |
| Windows Common Log File System Driver | CVE-2021-40467 | Chyba zabezpečení zvýšení úrovně oprávnění ovladače systému Windows Common Log File System | Důležité |
| Windows Common Log File System Driver | CVE-2021-40466 | Chyba zabezpečení zvýšení úrovně oprávnění ovladače systému Windows Common Log File System | Důležité |
| Windows Desktop Bridge | CVE-2021-41334 | Chyba zabezpečení zvýšení úrovně oprávnění Windows Desktop Bridge | Důležité |
| Windows DirectX | CVE-2021-40470 | Chyba zabezpečení zvýšení úrovně oprávnění grafického jádra DirectX | Důležité |
| Sledování událostí systému Windows | CVE-2021-40477 | Chyba zabezpečení zvýšení úrovně oprávnění pro sledování událostí systému Windows | Důležité |
| Systém souborů Windows exFAT | CVE-2021-38663 | Chyba zabezpečení zpřístupnění informací systému souborů Windows exFAT | Důležité |
| Ovladač Windows Fastfat | CVE-2021-41343 | Chyba zabezpečení zpřístupnění informací ovladače systému souborů Windows Fast FAT | Důležité |
| Ovladač Windows Fastfat | CVE-2021-38662 | Chyba zabezpečení zpřístupnění informací ovladače systému souborů Windows Fast FAT | Důležité |
| Instalační služba Windows Installer | CVE-2021-40455 | Chyba zabezpečení týkající se falšování Instalační služby systému Windows | Důležité |
| Kernel Windows | CVE-2021-41336 | Chyba zabezpečení zpřístupnění informací jádra systému Windows | Důležité |
| Kernel Windows | CVE-2021-41335 | Chyba zabezpečení zvýšení úrovně oprávnění jádra systému Windows | Důležité |
| Platforma Windows MSHTML | CVE-2021-41342 | Chyba zabezpečení vzdáleného spuštění kódu platformy Windows MSHTML | Důležité |
| Sdílení v okolí systému Windows | CVE-2021-40464 | Chyba zabezpečení zvýšení úrovně oprávnění systému Windows v okolí | Důležité |
| Windows Network Address Translation (NAT) | CVE-2021-40463 | Chyba zabezpečení Windows NAT Denial of Service | Důležité |
| Součásti zařazování tisku systému Windows | CVE-2021-41332 | Chyba zabezpečení zpřístupnění informací zařazovací služby tisku systému Windows | Důležité |
| Součásti zařazování tisku systému Windows | CVE-2021-36970 | Chyba zabezpečení v zařazování tisku ve Windows | Důležité |
| Runtime vzdáleného volání procedur systému Windows | CVE-2021-40460 | Funkce zabezpečení vzdáleného volání procedury Windows obchází chybu zabezpečení | Důležité |
| Řadič úložiště Windows | CVE-2021-40489 | Chyba zabezpečení zvýšení úrovně oprávnění řadiče úložiště | Důležité |
| Řadič úložiště Windows | CVE-2021-41345 | Chyba zabezpečení zvýšení úrovně oprávnění řadiče úložiště | Důležité |
| Řadič úložiště Windows | CVE-2021-26441 | Chyba zabezpečení zvýšení úrovně oprávnění řadiče úložiště | Důležité |
| Řadič úložiště Windows | CVE-2021-40478 | Chyba zabezpečení zvýšení úrovně oprávnění řadiče úložiště | Důležité |
| Řadič úložiště Windows | CVE-2021-40488 | Chyba zabezpečení zvýšení úrovně oprávnění řadiče úložiště | Důležité |
| Windows TCP/IP | CVE-2021-36953 | Chyba zabezpečení Windows TCP/IP Denial of Service | Důležité |
| Tvarování textu ve Windows | CVE-2021-40465 | Chyba zabezpečení týkající se vzdáleného spuštění kódu Windows Text Shaping | Důležité |
| Windows Win32K | CVE-2021-40449 | Zranitelnost Win32k Elevation of Privilege | Důležité |
| Windows Win32K | CVE-2021-41357 | Zranitelnost Win32k Elevation of Privilege | Důležité |
| Windows Win32K | CVE-2021-40450 | Zranitelnost Win32k Elevation of Privilege | Důležité |
Potýkali jste se s některou z chyb a chyb uvedených v tomto článku? Dejte nám vědět v sekci komentářů níže.
