Opravný utorok z januára 2023 prichádza s neuveriteľnými 98 aktualizáciami

Prázdniny sú za nami a my sme tu, začíname nový rok prosperity a možností. Dúfame, že sa po dovolenke budete cítiť svieži, pretože máte čo doháňať.

Ako viete, je druhý utorok v mesiaci, čo znamená, že používatelia Windowsu sa pozerajú na Microsoft v nádeji, že niektoré z nedostatkov, s ktorými zápasili, budú konečne opravené.

Dovolili sme si poskytnúť priame odkazy na stiahnutie pre kumulatívne aktualizácie vydané dnes pre Windows 7, 8.1, 10 a 11, ale teraz je čas opäť hovoriť o CVE.

V januári spoločnosť Microsoft vydala 98 nových opráv, čo je oveľa viac, ako niektorí ľudia začiatkom roka 2023 očakávali.

Tieto aktualizácie softvéru sa týkajú CVE v:

• Microsoft Windows a Windows komponenty
• Kancelárske a kancelárske komponenty
• .NET Core a Visual Studio Code
• 3D Builder, kontajner Azure Service Fabric
instagram story viewer
• Windows BitLocker
• Ochranca systému Windows
• Komponenty zaraďovača tlače systému Windows
• Microsoft Exchange Server

Microsoft vydal 98 nových dôležitých bezpečnostných záplat

Keď vývojári videli, že december 2022 bol z hľadiska bezpečnostných opráv celkom ľahkým mesiacom, museli sa v januári vyrovnať, čo sa presne stalo.

Možno by ste chceli vedieť, že z 98 nových vydaných CVE je 11 hodnotených ako kritických a 87 ako dôležitých z hľadiska závažnosti.

Majte tiež na pamäti, že tento objem je najväčší, aký sme od spoločnosti Microsoft videli v januárovom vydaní za pomerne dlhú dobu.

Zo všetkých týchto zraniteľností, ktoré sa riešili tento mesiac, je len jedna uvedená ako verejne známa a jedna je uvedená ako vo voľnej prírode v čase vydania.

Upozorňujeme, že tieto typy chýb sú často zabalené do nejakej formy útoku sociálneho inžinierstva, ako je napríklad presvedčenie niekoho, aby otvoril súbor alebo klikol na odkaz.

Pozrime sa bližšie na úplný zoznam CVE vydaných spoločnosťou Microsoft na január 2023:

CVE	Názov	Závažnosť	CVSS	Verejné	Využité	Typ
CVE-2023-21674	Zvýšenie zraniteľnosti privilégií systému Windows Advanced Local Procedure Call (ALPC).	Dôležité	8.8	Nie	Áno	EoP
CVE-2023-21549	Zraniteľnosť zvýšenia oprávnenia služby Windows Workstation	Dôležité	8.8	Áno	Nie	EoP
CVE-2023-21561	Zraniteľnosť zvýšenia úrovne oprávnení kryptografických služieb spoločnosti Microsoft	Kritické	8.8	Nie	Nie	EoP
CVE-2023-21551	Zraniteľnosť zvýšenia úrovne oprávnení kryptografických služieb spoločnosti Microsoft	Kritické	7.8	Nie	Nie	EoP
CVE-2023-21743	Funkcia zabezpečenia servera Microsoft SharePoint obchádza chybu zabezpečenia	Kritické	8.2	Nie	Nie	SFB
CVE-2023-21730	Chyba zabezpečenia vzdialeného spustenia kódu Windows Cryptographic Services	Kritické	7.8	Nie	Nie	EoP
CVE-2023-21543	Chyba zabezpečenia vzdialeného spustenia kódu Windows Layer 2 Tunneling Protocol (L2TP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-21546	Chyba zabezpečenia vzdialeného spustenia kódu Windows Layer 2 Tunneling Protocol (L2TP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-21555	Chyba zabezpečenia vzdialeného spustenia kódu Windows Layer 2 Tunneling Protocol (L2TP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-21556	Chyba zabezpečenia vzdialeného spustenia kódu Windows Layer 2 Tunneling Protocol (L2TP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-21679	Chyba zabezpečenia vzdialeného spustenia kódu Windows Layer 2 Tunneling Protocol (L2TP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-21535	Chyba zabezpečenia vzdialeného spustenia kódu Windows Secure Socket Tunneling Protocol (SSTP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-21548	Chyba zabezpečenia vzdialeného spustenia kódu Windows Secure Socket Tunneling Protocol (SSTP).	Kritické	8.1	Nie	Nie	RCE
CVE-2023-21538	Zraniteľnosť .NET Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21780	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21781	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21782	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21784	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21786	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21791	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21793	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21783	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21785	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21787	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21788	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21789	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21790	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21792	Chyba zabezpečenia vzdialeného spustenia kódu pomocou nástroja 3D Builder	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21531	Zvýšenie zraniteľnosti kontajnera Azure Service Fabric	Dôležité	7	Nie	Nie	EoP
CVE-2023-21563	Bezpečnostná funkcia BitLocker obchádza chybu zabezpečenia	Dôležité	6.8	Nie	Nie	SFB
CVE-2023-21536	Sledovanie udalostí pre zraniteľnosť sprístupnenia informácií systému Windows	Dôležité	4.7	Nie	Nie	Info
CVE-2023-21753	Sledovanie udalostí pre zraniteľnosť sprístupnenia informácií systému Windows	Dôležité	5.5	Nie	Nie	Info
CVE-2023-21547	Chyba zabezpečenia protokolu Denial of Service (Internet Key Exchange, IKE).	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21724	Chyba zabezpečenia zvýšenia úrovne privilégií základnej knižnice Microsoft DWM	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21764	Zraniteľnosť zvýšenia úrovne privilégií servera Microsoft Exchange	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21763	Zraniteľnosť zvýšenia úrovne privilégií servera Microsoft Exchange	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21761	Chyba zabezpečenia v sprístupnení informácií servera Microsoft Exchange	Dôležité	7.5	Nie	Nie	Info
CVE-2023-21762	Chyba zabezpečenia spoofing servera Microsoft Exchange	Dôležité	8	Nie	Nie	Spoofing
CVE-2023-21745	Chyba zabezpečenia spoofing servera Microsoft Exchange	Dôležité	8	Nie	Nie	Spoofing
CVE-2023-21537	Chyba zabezpečenia zvýšenia úrovne privilégií služby Microsoft Message Queuing (MSMQ).	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21732	Chyba zabezpečenia vzdialeného spustenia kódu ovládača Microsoft ODBC	Dôležité	8.8	Nie	Nie	RCE
CVE-2023-21734	Chyba zabezpečenia vzdialeného spustenia kódu balíka Microsoft Office	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21735	Chyba zabezpečenia vzdialeného spustenia kódu balíka Microsoft Office	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21741	Chyba zabezpečenia pri sprístupnení informácií v programe Microsoft Office Visio	Dôležité	7.1	Nie	Nie	Info
CVE-2023-21736	Chyba zabezpečenia vzdialeného spustenia kódu aplikácie Microsoft Office Visio	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21737	Chyba zabezpečenia vzdialeného spustenia kódu aplikácie Microsoft Office Visio	Dôležité	7.8	Nie	Nie	RCE
CVE-2023-21738	Chyba zabezpečenia vzdialeného spustenia kódu aplikácie Microsoft Office Visio	Dôležité	7.1	Nie	Nie	RCE
CVE-2023-21744	Chyba zabezpečenia vzdialeného spustenia kódu na serveri Microsoft SharePoint	Dôležité	8.8	Nie	Nie	RCE
CVE-2023-21742	Chyba zabezpečenia vzdialeného spustenia kódu na serveri Microsoft SharePoint	Dôležité	8.8	Nie	Nie	RCE
CVE-2023-21681	Poskytovateľ Microsoft WDAC OLE DB pre chybu zabezpečenia vzdialeného spustenia kódu SQL Server	Dôležité	8.8	Nie	Nie	RCE
CVE-2023-21725	Chyba zabezpečenia zvýšenia úrovne oprávnení v programe Microsoft Windows Defender	Dôležité	6.3	Nie	Nie	EoP
CVE-2023-21779	Chyba zabezpečenia vzdialeného spustenia kódu Visual Studio	Dôležité	7.3	Nie	Nie	RCE
CVE-2023-21768	Ovládač doplnkových funkcií systému Windows pre zraniteľnosť zabezpečenia WinSock Elevation of Privilege	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21539	Chyba zabezpečenia vzdialeného spustenia kódu v systéme Windows	Dôležité	7.5	Nie	Nie	RCE
CVE-2023-21752	Zraniteľnosť zvýšenia úrovne oprávnení služby Windows Backup Service	Dôležité	7.1	Nie	Nie	EoP
CVE-2023-21733	Chyba zabezpečenia zvýšenia úrovne oprávnení ovládača Windows Bind Filter Driver	Dôležité	7	Nie	Nie	EoP
CVE-2023-21739	Chyba zabezpečenia zvýšenia úrovne oprávnení ovládača Windows Bluetooth	Dôležité	7	Nie	Nie	EoP
CVE-2023-21560	Bezpečnostná funkcia správcu zavádzania systému Windows obchádza chybu zabezpečenia	Dôležité	6.6	Nie	Nie	SFB
CVE-2023-21726	Zvýšenie zraniteľnosti používateľského rozhrania správcu poverení systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21540	Chyba zabezpečenia v sprístupnení kryptografických informácií systému Windows	Dôležité	5.5	Nie	Nie	Info
CVE-2023-21550	Chyba zabezpečenia v sprístupnení kryptografických informácií systému Windows	Dôležité	5.5	Nie	Nie	Info
CVE-2023-21559	Chyba zabezpečenia v oblasti sprístupnenia informácií kryptografických služieb systému Windows	Dôležité	6.2	Nie	Nie	Info
CVE-2023-21525	Chyba zabezpečenia systému Windows Encrypting File System (EFS) Denial of Service	Dôležité	5.9	Nie	Nie	DoS
CVE-2023-21558	Zraniteľnosť zvýšenia úrovne oprávnení služby Windows Error Reporting	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21552	Chyba zabezpečenia zvýšenia úrovne privilégií Windows GDI	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21532	Chyba zabezpečenia zvýšenia úrovne privilégií Windows GDI	Dôležité	7	Nie	Nie	EoP
CVE-2023-21542	Zraniteľnosť zvýšenia oprávnenia Inštalátora systému Windows	Dôležité	7	Nie	Nie	EoP
CVE-2023-21683	Chyba zabezpečenia rozšírenia Windows Internet Key Exchange (IKE) Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21677	Chyba zabezpečenia rozšírenia Windows Internet Key Exchange (IKE) Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21758	Chyba zabezpečenia rozšírenia Windows Internet Key Exchange (IKE) Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21527	Chyba zabezpečenia Windows iSCSI Service Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21755	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21754	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21747	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21748	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21749	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21772	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21773	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21774	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21675	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21750	Chyba zabezpečenia zvýšenia privilégií jadra systému Windows	Dôležité	7.1	Nie	Nie	EoP
CVE-2023-21776	Chyba zabezpečenia pri sprístupnení informácií jadra systému Windows	Dôležité	5.5	Nie	Nie	Info
CVE-2023-21757	Chyba zabezpečenia odmietnutia služby protokolu Windows Layer 2 Tunneling Protocol (L2TP).	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21557	Zraniteľnosť odmietnutia služby Windows Lightweight Directory Access Protocol (LDAP).	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21676	Chyba zabezpečenia vzdialeného spustenia kódu Windows Lightweight Directory Access Protocol (LDAP).	Dôležité	8.8	Nie	Nie	RCE
CVE-2023-21524	Zraniteľnosť zvýšenia úrovne oprávnení systému Windows Local Security Authority (LSA).	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21771	Zraniteľnosť zvýšenia oprávnenia správcu lokálnej relácie systému Windows (LSM).	Dôležité	7	Nie	Nie	EoP
CVE-2023-21728	Chyba zabezpečenia Windows Netlogon Denial of Service	Dôležité	7.5	Nie	Nie	DoS
CVE-2023-21746	Chyba zabezpečenia zvýšenia úrovne oprávnení systému Windows NTLM	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21767	Chyba zabezpečenia zvýšenia úrovne oprávnenia filtra prekrytia systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21766	Chyba zabezpečenia sprístupnenia informácií prekryvného filtra systému Windows	Dôležité	4.7	Nie	Nie	Info
CVE-2023-21682	Chyba zabezpečenia pri sprístupnení informácií protokolu Windows Point-to-Point Protocol (PPP).	Dôležité	5.3	Nie	Nie	Info
CVE-2023-21760	Chyba zabezpečenia zvýšenia úrovne oprávnenia zaraďovača tlače systému Windows	Dôležité	7.1	Nie	Nie	EoP
CVE-2023-21765	Chyba zabezpečenia zvýšenia úrovne oprávnenia zaraďovača tlače systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21678	Chyba zabezpečenia zvýšenia úrovne oprávnenia zaraďovača tlače systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21759	Funkcia zabezpečenia servera na správu prostriedkov Windows Smart Card obchádza chybu zabezpečenia	Dôležité	3.3	Nie	Nie	SFB
CVE-2023-21541	Zraniteľnosť zvýšenia úrovne oprávnenia plánovača úloh systému Windows	Dôležité	7.8	Nie	Nie	EoP
CVE-2023-21680	Chyba zabezpečenia zvýšenia úrovne oprávnení systému Windows Win32k	Dôležité	7.8	Nie	Nie	EoP

Pri bližšom pohľade na zostávajúce opravy s kritickým hodnotením existujú dve opravy pre kryptografické služby, ale môžeme ich klasifikovať skôr ako eskalácie privilégií ako RCE.

Okrem toho existuje päť záplat pre protokol Layer 2 Tunneling Protocol (L2TP), ktorý bol predstavený už v systéme Windows 2000.

Keď sa pozrieme na 25 chýb pri vykonávaní kódu opravených v tomto vydaní Patch Tuesday, existuje 14 opráv pre komponent 3D Builder.

Existujú aj dve opravy chýb SharePoint pre RCE, ktoré vyžadujú overenie. Každý používateľ má však štandardne povolenia potrebné na zneužitie týchto chýb.

Pozeráme sa aj na niekoľko opráv súvisiacich s SQL. Vedzte, že útočník môže spustiť kód, ak dokáže presvedčiť overeného používateľa, aby sa pokúsil pripojiť k škodlivému serveru SQL cez ODBC.

Tento mesiac musíme spomenúť aj opravy 11 rôznych chýb zverejňovania informácií a sedem z nich má za následok iba úniky informácií, ktoré pozostávajú z nešpecifikovaného obsahu pamäte.

Toto januárové vydanie opravuje 10 rôznych chýb DoS (Denial-of-Service), ale Microsoft neposkytuje žiadne skutočné podrobnosti o týchto chybách, takže nie je jasné, či úspešné využitie vedie k zastaveniu služby alebo systému zrútenie.

Dve spoofingové chyby na serveri Exchange tiež dostali kritické opravy, hoci popisy naznačujú iný dopad.

Zatiaľ čo jeden poznamenáva, že úspešné zneužitie by mohlo odhaliť NTLM hash, druhý je o tom, že overený útočník by mohol dosiahnuť zneužitie po relácii vzdialenej komunikácie Powershell na server.

Napriek tomu sa uistite, že aktualizujete svoj server Exchange, aby ste zaistili nápravu viacerých chýb, ktoré sa opravujú tento mesiac.

Našli ste po inštalácii aktualizácií zabezpečenia tento mesiac nejaké ďalšie problémy? Podeľte sa s nami o svoje skúsenosti v sekcii komentárov nižšie.