- Microsoft nie lekceważy tych luk i ciężko pracuje, aby je naprawić.
- W rezultacie styczeń 2023 roku przyniósł ogromną liczbę poprawek poświęconych bezpieczeństwu.
- Sprawdź wszystko, co trzeba wiedzieć o tym wydaniu Patch Tuesday tutaj.
Święta się skończyły, a my rozpoczynamy nowy rok dobrobytu i możliwości. Mamy nadzieję, że po wakacjach czujesz się wypoczęty, ponieważ jest wiele do nadrobienia.
Jak wiecie, jest drugi wtorek miesiąca, co oznacza, że użytkownicy Windowsa spoglądają w stronę Microsoftu w nadziei, że niektóre z usterek, z którymi się borykają, zostaną w końcu naprawione.
Pozwoliliśmy sobie udostępnić bezpośrednie linki do pobrania dla zbiorczych aktualizacji wydanych dzisiaj dla Windows 7, 8.1, 10 i 11, ale teraz nadszedł czas, aby ponownie porozmawiać o CVE.
W styczniu Microsoft wydał 98 nowych łatek, czyli znacznie więcej, niż niektórzy oczekiwali na początku 2023 roku.
Te aktualizacje oprogramowania dotyczą CVE w:
- Microsoft Windows i składniki Windows
- Pakiet Office i składniki pakietu Office
- .NET Core i Visual Studio Code
- Konstruktor 3D, kontener usługi Azure Service Fabric
- BitLocker systemu Windows
- Windows Defender
- Składniki bufora wydruku systemu Windows
- Serwer Microsoft Exchange
Microsoft wydał 98 nowych ważnych poprawek bezpieczeństwa
Widząc, że grudzień 2022 r. był dość lekkim miesiącem pod względem poprawek bezpieczeństwa, programiści musieli nadrobić zaległości w styczniu, co dokładnie się stało.
Być może zechcesz wiedzieć, że spośród 98 opublikowanych nowych CVE, 11 ma ocenę krytyczną, a 87 – ważną pod względem ważności.
Pamiętaj też, że ten wolumen jest największym, jaki widzieliśmy od Microsoftu w styczniowym wydaniu od dłuższego czasu.
Spośród wszystkich tych luk, o których mowa w tym miesiącu, tylko jedna jest wymieniona jako publicznie znana, a jedna jako występująca na wolności w momencie wydania.
Należy pamiętać, że tego typu błędy są często opakowane w jakąś formę ataku socjotechnicznego, na przykład nakłonienie kogoś do otwarcia pliku lub kliknięcia łącza.
Przyjrzyjmy się bliżej pełnej liście CVE opublikowanych przez Microsoft w styczniu 2023 r.:
| CVE | Tytuł | Powaga | CVSS | Publiczny | Eksploatowany | Typ |
| CVE-2023-21674 | Luka w zabezpieczeniach systemu Windows umożliwiająca podniesienie uprawnień przez zaawansowane lokalne wywołanie procedury (ALPC). | Ważny | 8.8 | NIE | Tak | EoP |
| CVE-2023-21549 | Luka w zabezpieczeniach usługi Windows Workstation umożliwiająca podniesienie uprawnień | Ważny | 8.8 | Tak | NIE | EoP |
| CVE-2023-21561 | Luka w zabezpieczeniach usług kryptograficznych firmy Microsoft związana z podniesieniem uprawnień | Krytyczny | 8.8 | NIE | NIE | EoP |
| CVE-2023-21551 | Luka w zabezpieczeniach usług kryptograficznych firmy Microsoft związana z podniesieniem uprawnień | Krytyczny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21743 | Luka w zabezpieczeniach programu Microsoft SharePoint Server umożliwiająca obejście | Krytyczny | 8.2 | NIE | NIE | SFB |
| CVE-2023-21730 | Luka w zabezpieczeniach usług kryptograficznych systemu Windows umożliwiająca zdalne wykonanie kodu | Krytyczny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21543 | Luka w zabezpieczeniach protokołu tunelowania warstwy 2 systemu Windows (L2TP) umożliwiająca zdalne wykonanie kodu | Krytyczny | 8.1 | NIE | NIE | RCE |
| CVE-2023-21546 | Luka w zabezpieczeniach protokołu tunelowania warstwy 2 systemu Windows (L2TP) umożliwiająca zdalne wykonanie kodu | Krytyczny | 8.1 | NIE | NIE | RCE |
| CVE-2023-21555 | Luka w zabezpieczeniach protokołu tunelowania warstwy 2 systemu Windows (L2TP) umożliwiająca zdalne wykonanie kodu | Krytyczny | 8.1 | NIE | NIE | RCE |
| CVE-2023-21556 | Luka w zabezpieczeniach protokołu tunelowania warstwy 2 systemu Windows (L2TP) umożliwiająca zdalne wykonanie kodu | Krytyczny | 8.1 | NIE | NIE | RCE |
| CVE-2023-21679 | Luka w zabezpieczeniach protokołu tunelowania warstwy 2 systemu Windows (L2TP) umożliwiająca zdalne wykonanie kodu | Krytyczny | 8.1 | NIE | NIE | RCE |
| CVE-2023-21535 | Luka w zabezpieczeniach protokołu Windows Secure Socket Tunneling Protocol (SSTP) umożliwiająca zdalne wykonanie kodu | Krytyczny | 8.1 | NIE | NIE | RCE |
| CVE-2023-21548 | Luka w zabezpieczeniach protokołu Windows Secure Socket Tunneling Protocol (SSTP) umożliwiająca zdalne wykonanie kodu | Krytyczny | 8.1 | NIE | NIE | RCE |
| CVE-2023-21538 | Luka w zabezpieczeniach platformy .NET związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21780 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21781 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21782 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21784 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21786 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21791 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21793 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21783 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21785 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21787 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21788 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21789 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21790 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21792 | Luka w zabezpieczeniach programu 3D Builder umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21531 | Luka w zabezpieczeniach kontenera usługi Azure Service Fabric związana z podniesieniem uprawnień | Ważny | 7 | NIE | NIE | EoP |
| CVE-2023-21563 | Luka w zabezpieczeniach funkcji BitLocker umożliwiająca obejście | Ważny | 6.8 | NIE | NIE | SFB |
| CVE-2023-21536 | Śledzenie zdarzeń w przypadku luki w zabezpieczeniach systemu Windows umożliwiającej ujawnienie informacji | Ważny | 4.7 | NIE | NIE | Informacje |
| CVE-2023-21753 | Śledzenie zdarzeń w przypadku luki w zabezpieczeniach systemu Windows umożliwiającej ujawnienie informacji | Ważny | 5.5 | NIE | NIE | Informacje |
| CVE-2023-21547 | Luka w zabezpieczeniach protokołu Internet Key Exchange (IKE) związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21724 | Luka w zabezpieczeniach biblioteki Microsoft DWM Core związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21764 | Luka w zabezpieczeniach Microsoft Exchange Server związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21763 | Luka w zabezpieczeniach Microsoft Exchange Server związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21761 | Luka w zabezpieczeniach programu Microsoft Exchange umożliwiająca ujawnienie informacji | Ważny | 7.5 | NIE | NIE | Informacje |
| CVE-2023-21762 | Luka w zabezpieczeniach Microsoft Exchange Server związana z fałszowaniem | Ważny | 8 | NIE | NIE | Fałszowanie |
| CVE-2023-21745 | Luka w zabezpieczeniach Microsoft Exchange Server związana z fałszowaniem | Ważny | 8 | NIE | NIE | Fałszowanie |
| CVE-2023-21537 | Luka w zabezpieczeniach usługi Microsoft Message Queuing (MSMQ) związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21732 | Luka w zabezpieczeniach sterownika Microsoft ODBC umożliwiająca zdalne wykonanie kodu | Ważny | 8.8 | NIE | NIE | RCE |
| CVE-2023-21734 | Luka w zabezpieczeniach pakietu Microsoft Office umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21735 | Luka w zabezpieczeniach pakietu Microsoft Office umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21741 | Luka w zabezpieczeniach programu Microsoft Office Visio umożliwiająca ujawnienie informacji | Ważny | 7.1 | NIE | NIE | Informacje |
| CVE-2023-21736 | Luka w zabezpieczeniach programu Microsoft Office Visio umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21737 | Luka w zabezpieczeniach programu Microsoft Office Visio umożliwiająca zdalne wykonanie kodu | Ważny | 7.8 | NIE | NIE | RCE |
| CVE-2023-21738 | Luka w zabezpieczeniach programu Microsoft Office Visio umożliwiająca zdalne wykonanie kodu | Ważny | 7.1 | NIE | NIE | RCE |
| CVE-2023-21744 | Luka w zabezpieczeniach programu Microsoft SharePoint Server umożliwiająca zdalne wykonanie kodu | Ważny | 8.8 | NIE | NIE | RCE |
| CVE-2023-21742 | Luka w zabezpieczeniach programu Microsoft SharePoint Server umożliwiająca zdalne wykonanie kodu | Ważny | 8.8 | NIE | NIE | RCE |
| CVE-2023-21681 | Dostawca Microsoft WDAC OLE DB dotyczący luki w zabezpieczeniach programu SQL Server umożliwiającej zdalne wykonanie kodu | Ważny | 8.8 | NIE | NIE | RCE |
| CVE-2023-21725 | Luka w zabezpieczeniach programu Microsoft Windows Defender związana z podniesieniem uprawnień | Ważny | 6.3 | NIE | NIE | EoP |
| CVE-2023-21779 | Luka w zabezpieczeniach programu Visual Studio Code umożliwiająca zdalne wykonanie kodu | Ważny | 7.3 | NIE | NIE | RCE |
| CVE-2023-21768 | Sterownik funkcji pomocniczych systemu Windows dla luki w zabezpieczeniach WinSock związanej z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21539 | Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu uwierzytelniania systemu Windows | Ważny | 7.5 | NIE | NIE | RCE |
| CVE-2023-21752 | Luka w zabezpieczeniach usługi kopii zapasowej systemu Windows umożliwiająca podniesienie uprawnień | Ważny | 7.1 | NIE | NIE | EoP |
| CVE-2023-21733 | Luka w zabezpieczeniach sterownika filtru powiązań systemu Windows związana z podniesieniem uprawnień | Ważny | 7 | NIE | NIE | EoP |
| CVE-2023-21739 | Luka w zabezpieczeniach sterownika Bluetooth systemu Windows umożliwiająca podniesienie uprawnień | Ważny | 7 | NIE | NIE | EoP |
| CVE-2023-21560 | Luka w zabezpieczeniach związana z obejściem funkcji zabezpieczeń Menedżera rozruchu systemu Windows | Ważny | 6.6 | NIE | NIE | SFB |
| CVE-2023-21726 | Luka w zabezpieczeniach interfejsu użytkownika Menedżera poświadczeń systemu Windows umożliwiająca podniesienie uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21540 | Luka w zabezpieczeniach systemu Windows umożliwiająca ujawnienie informacji kryptograficznych | Ważny | 5.5 | NIE | NIE | Informacje |
| CVE-2023-21550 | Luka w zabezpieczeniach systemu Windows umożliwiająca ujawnienie informacji kryptograficznych | Ważny | 5.5 | NIE | NIE | Informacje |
| CVE-2023-21559 | Luka w zabezpieczeniach usług kryptograficznych systemu Windows umożliwiająca ujawnienie informacji | Ważny | 6.2 | NIE | NIE | Informacje |
| CVE-2023-21525 | Luka w zabezpieczeniach systemu Windows szyfrowania plików (EFS) związana z odmową usługi | Ważny | 5.9 | NIE | NIE | DoS |
| CVE-2023-21558 | Luka w zabezpieczeniach usługi raportowania błędów systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21552 | Luka w zabezpieczeniach Windows GDI związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21532 | Luka w zabezpieczeniach Windows GDI związana z podniesieniem uprawnień | Ważny | 7 | NIE | NIE | EoP |
| CVE-2023-21542 | Luka w zabezpieczeniach Instalatora Windows związana z podniesieniem uprawnień | Ważny | 7 | NIE | NIE | EoP |
| CVE-2023-21683 | Luka w zabezpieczeniach rozszerzenia Windows Internet Key Exchange (IKE) związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21677 | Luka w zabezpieczeniach rozszerzenia Windows Internet Key Exchange (IKE) związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21758 | Luka w zabezpieczeniach rozszerzenia Windows Internet Key Exchange (IKE) związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21527 | Luka w zabezpieczeniach usługi Windows iSCSI związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21755 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21754 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21747 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21748 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21749 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21772 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21773 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21774 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21675 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21750 | Luka w zabezpieczeniach jądra systemu Windows związana z podniesieniem uprawnień | Ważny | 7.1 | NIE | NIE | EoP |
| CVE-2023-21776 | Luka w zabezpieczeniach jądra systemu Windows umożliwiająca ujawnienie informacji | Ważny | 5.5 | NIE | NIE | Informacje |
| CVE-2023-21757 | Luka w zabezpieczeniach protokołu Windows Layer 2 Tunneling Protocol (L2TP) związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21557 | Luka w zabezpieczeniach systemu Windows Lightweight Directory Access Protocol (LDAP) związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21676 | Luka w zabezpieczeniach umożliwiająca zdalne wykonanie kodu systemu Windows Lightweight Directory Access Protocol (LDAP). | Ważny | 8.8 | NIE | NIE | RCE |
| CVE-2023-21524 | Luka w zabezpieczeniach związana z podniesieniem uprawnień przez urząd zabezpieczeń lokalnych systemu Windows (LSA). | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21771 | Luka w zabezpieczeniach Menedżera sesji lokalnej systemu Windows (LSM) związana z podniesieniem uprawnień | Ważny | 7 | NIE | NIE | EoP |
| CVE-2023-21728 | Luka w zabezpieczeniach Windows Netlogon związana z odmową usługi | Ważny | 7.5 | NIE | NIE | DoS |
| CVE-2023-21746 | Luka w zabezpieczeniach Windows NTLM związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21767 | Luka w zabezpieczeniach podniesienia uprawnień filtra nakładki systemu Windows | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21766 | Luka w zabezpieczeniach związana z ujawnieniem informacji o filtrze nakładki systemu Windows | Ważny | 4.7 | NIE | NIE | Informacje |
| CVE-2023-21682 | Luka w zabezpieczeniach protokołu Windows Point-to-Point (PPP) umożliwiająca ujawnienie informacji | Ważny | 5.3 | NIE | NIE | Informacje |
| CVE-2023-21760 | Luka w zabezpieczeniach bufora wydruku systemu Windows związana z podniesieniem uprawnień | Ważny | 7.1 | NIE | NIE | EoP |
| CVE-2023-21765 | Luka w zabezpieczeniach bufora wydruku systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21678 | Luka w zabezpieczeniach bufora wydruku systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21759 | Luka w zabezpieczeniach serwera zarządzania zasobami karty inteligentnej systemu Windows związana z obejściem funkcji zabezpieczeń | Ważny | 3.3 | NIE | NIE | SFB |
| CVE-2023-21541 | Luka w zabezpieczeniach Harmonogramu zadań systemu Windows związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
| CVE-2023-21680 | Luka w zabezpieczeniach Windows Win32k związana z podniesieniem uprawnień | Ważny | 7.8 | NIE | NIE | EoP |
Porada eksperta:
SPONSOROWANE
Niektóre problemy z komputerem są trudne do rozwiązania, zwłaszcza jeśli chodzi o uszkodzone repozytoria lub brakujące pliki systemu Windows. Jeśli masz problemy z naprawieniem błędu, Twój system może być częściowo uszkodzony.
Zalecamy zainstalowanie Restoro, narzędzia, które przeskanuje Twoją maszynę i zidentyfikuje usterkę.
Kliknij tutaj pobrać i rozpocząć naprawę.
Przyglądając się bliżej pozostałym poprawkom o ocenie krytycznej, istnieją dwie łatki dla usług kryptograficznych, ale możemy je sklasyfikować raczej jako eskalacje uprawnień niż RCE.
Ponadto istnieje pięć poprawek dla protokołu tunelowania warstwy 2 (L2TP), który został wprowadzony w systemie Windows 2000.
Patrząc na 25 błędów związanych z wykonywaniem kodu naprawionych we wtorkowym wydaniu patcha, można stwierdzić, że jest 14 poprawek dla komponentu 3D Builder.
Istnieją również dwie poprawki błędów programu SharePoint dla RCE, które wymagają uwierzytelnienia. Jednak domyślnie każdy użytkownik ma uprawnienia wymagane do wykorzystania tych błędów.
Przyglądamy się również kilku poprawkom związanym z SQL. Wiedz, że atakujący może wykonać kod, jeśli uda mu się przekonać uwierzytelnionego użytkownika do próby połączenia się ze złośliwym serwerem SQL za pośrednictwem ODBC.
Musimy również wspomnieć o poprawkach 11 różnych błędów ujawniania informacji w tym miesiącu, a siedem z nich skutkuje jedynie wyciekami informacji składającymi się z nieokreślonej zawartości pamięci.
Ta styczniowa wersja naprawia 10 różnych błędów związanych z odmową usługi (DoS), ale Microsoft nie podaje żadnych szczegółów o tych błędach, więc nie jest jasne, czy udana eksploatacja spowoduje zatrzymanie usługi lub systemu upaść.
Dwa błędy fałszowania w serwerze Exchange również otrzymały krytyczne poprawki, chociaż opisy sugerują inny wpływ.
Podczas gdy jeden z nich zauważa, że udane wykorzystanie może ujawnić skróty NTLM, drugi dotyczy uwierzytelnionego atakującego, który może osiągnąć exploit, biorąc pod uwagę sesję zdalną programu Powershell z serwerem.
Niemniej jednak upewnij się, że zaktualizujesz serwer Exchange, aby mieć pewność, że usuniesz wiele błędów, które zostaną naprawione w tym miesiącu.
Czy po zainstalowaniu aktualizacji zabezpieczeń z tego miesiąca napotkałeś jakieś inne problemy? Podziel się z nami swoimi doświadczeniami w sekcji komentarzy poniżej.
