Microsoft, Microsoft Windows güvenlik açıkları için 41 yama, Microsoft Office'te beş ve Microsoft Exchange'de iki güvenlik açığı dahil olmak üzere yazılımlar için 71 güvenlik düzeltmesi yayımladı .
Güvenlik açıklarından ikisi kritik olarak derecelendirilirken - CVE-2022-22006 ve CVE-2022-24501 - geri kalanı önemli olarak derecelendirildi.
Redmond devinin , genellikle Salı Yaması olarak bilinen şekilde her ayın ikinci Salı günü yayınlanan en son yamalarında , Microsoft, uzaktan kod yürütme (RCE) güvenlik açıkları, hizmet reddi hataları, ayrıcalık yükseltme hataları, kimlik sahtekarlığı sorunları gibi sorunları düzeltti. , bilgi sızıntıları ve politika atlama açıkları.
Güvenlik açıklarının hiçbiri aktif olarak istismar edilmiyor, ancak Sophos , CVE-2022-21990 için halka açık bir kavram kanıtının yayınlandığını kaydetti .
Mart ayının güvenlik güncellemesinden etkilenen ürünler arasında Exchange, Visual Studio, Windows için Xbox uygulaması, Intune, Microsoft Defender, Express Logic, Azure Site Recovery ve 21 güvenlik açığı bulunan Chromium tabanlı Microsoft Edge tarayıcı yer alıyor.
Bu güncellemeyle ilgili diğer güvenlik açıklarından bazıları şunlardır:
- CVE-2022-24502: Internet Explorer Güvenlik Özelliğini Atlama Güvenlik Açığı
- CVE-2022-24508: SMB Sunucusunda Uzaktan Kod Yürütme Güvenlik Açığı
- CVE-2022-24512: .NET ve Visual Studio Uzaktan Kod Yürütme Güvenlik Açığı
- CVE-2022-21990: Uzak Masaüstü İstemcisinde Uzaktan Kod Yürütme Güvenlik Açığı
- CVE-2022-23277: Microsoft Exchange Sunucusunda Uzaktan Kod Yürütme Güvenlik Açığı
- CVE-2022-24459: Windows Faks ve Tarama Hizmetinde Ayrıcalık Yükselmesi Güvenlik Açığı
Recorded Future'dan Allan Liska, Microsoft'un CVE-2022-21990'ı "Sömürü Daha Muhtemel" olarak etiketlediğini, çünkü Kanıt Kanıtı kodunun herkese açık olduğunu kaydetti.
Liska, "Saldırganın bu güvenlik açığından yararlanmak için istemcinin bağlı olduğu Uzak Masaüstü Sunucusunu kontrol etmesi ve saldırıyı buradan başlatması gerekir" dedi.
"Son birkaç yılda Uzak Masaüstü İstemcisine karşı, hiçbiri vahşi ortamda yaygın olarak kullanılmamış bir dizi benzer güvenlik açığı gördük. Bu tür önceki güvenlik açıklarından geniş çapta yararlanılmamış olsa da, bu şu anlama gelmiyor. biri olmayacak."
Liska, eğer bir saldırgan kurbanı, açıldığında çökecek ve güvenlik açığından yararlanacak "özel hazırlanmış bir dosya" indirmeye ikna ederse, CVE-2022-24501 ve CVE-2022-22006'dan yararlanılabileceğini de sözlerine ekledi.
Liska, "Bu, karmaşık bir kimlik avı kampanyasının kolayca gerçekleştirebileceği türden bir saldırıdır" dedi.
Şubat ayında teknoloji devi, sıfır gün hatası için bir yama da dahil olmak üzere yazılım için 48 güvenlik düzeltmesi yayınladı, ancak kritik önemde kusurlar yoktu.
Cisco ve Google da Salı günü güvenlik güncellemeleri yayınladı.
0 Comments