O mês de março chegou e com ele o mais novo Patch Tuesday. O que isso significa? Novas atualizações de segurança recentes da Adobe e da Microsoft!

Patches do Adobe para esse mês

Este mês, a Adobe lançou apenas três patches abordando seis CVEs no Adobe Photoshop, Illustrator e After Effects. O patch para o After Effects é o maior dos três, corrigindo quatro estouros de buffer baseados em pilha com classificação Crítica que podem resultar na execução de código arbitrário. A correção para o Illustrator também é classificada como Crítica. Ele aborda um único estouro de buffer que pode levar à execução arbitrária de código. Por fim, a atualização do Photoshop corrige um único vazamento de memória com classificação Importante.

Patches da Microsoft para esse mês

Para este mês, a Microsoft lançou 71 novos patches abordando CVEs no Microsoft Windows e componentes do Windows, Azure Site Recovery, Microsoft Defender for Endpoint e IoT, Intune, Edge (baseado no Chromium), Plataformas HTML do Windows, Office e componentes do Office, Skype para Chrome, .NET e Visual Studio, Windows RDP, SMB Server e Xbox. Isso se soma aos 21 CVEs corrigidos pelo Microsoft Edge (baseado no Chromium) no início deste mês, o que eleva o total de março para 92 CVEs.

Dos 71 CVEs lançados, três são Críticos e 68 são Importantes em gravidade. Um total de sete desses bugs veio através do programa ZDI. No entanto, o número de patches com classificação Crítica é baixo para esse número de bugs.

Nenhum dos bugs está listado como exploração Ativa, enquanto três estão listados como conhecidos publicamente até o presente momento.

Os bugs listados como conhecidos publicamente:

– CVE-2022-23277 – Microsoft Exchange Server Remote Code Execution Vulnerability

Bug de classificação crítica no Exchange Server. A vulnerabilidade permitiria que um invasor autenticado executasse seu código com privilégios elevados por meio de uma chamada de rede.

– CVE-2022-21990 – Remote Desktop Client Remote Code Execution Vulnerability

Se um invasor puder atrair um cliente RDP afetado para se conectar ao servidor RDP, poderá acionar a execução de código no cliente de destino.

– CVE-2022-21967 – Xbox Live Auth Manager for Windows Elevation of Privilege Vulnerability

Este parece ser o primeiro patch de segurança que afeta especificamente o Xbox. Houve um aviso para um certificado Xbox Live divulgado inadvertidamente em 2015, mas esta parece ser a primeira atualização específica de segurança para o próprio dispositivo. A Microsoft ainda observa que outros sistemas operacionais Windows não são afetados por esse bug. Não está claro como um invasor pode escalar privilégios usando essa vulnerabilidade, mas o componente Auth Manager está listado como afetado. Este serviço lida com a interação com o serviço Xbox Live.

CVE-2022-24508 – Windows SMBv3 Client/Server Remote Code Execution Vulnerability

Esse bug pode permitir que um invasor execute código no Windows 10 versão 2004 e em sistemas mais recentes. Também lembra o CVE-2020-0796 de alguns anos atrás. Ambos também listam a desativação da compactação SMBv3 como solução alternativa para servidores SMB, mas isso não ajuda os clientes. Em 2020, a Microsoft observou que a compactação SMBv3 “ainda não é usada pelo Windows ou Windows Server e desabilitar a compactação SMB não tem impacto negativo no desempenho”. Isso não está no aviso atual, portanto, não está claro o que a desativação desse recurso terá agora. A autenticação é necessária aqui, mas como isso afetou clientes e servidores, um invasor pode usar isso para movimento lateral dentro de uma rede.

Aqui está a lista completa de CVE lançada pela Microsoft para março de 2022:

* Indica que este CVE foi lançado anteriormente por terceiros e agora está sendo incorporado aos produtos da Microsoft.

Observando o restante da versão de março, destacam-se os 11 CVEs que afetam o Azure Site Recovery. Para aqueles que não estão familiarizados com isso, o Site Recovery é uma recuperação de desastres nativa como um serviço (DRaaS). O lançamento deste mês inclui correções para cinco erros de elevação de privilégio (EoP) e seis de execução remota de código (RCE) na plataforma. Considerando tudo o que está acontecendo no mundo, agora é um mau momento para ter problemas com seus planos de recuperação de desastres. Se você estiver usando esta plataforma, certifique-se de que esses patches sejam instalados. Caso contrário, reserve um tempo para revisar seus planos de recuperação de desastres de qualquer maneira.

Além do bug do Exchange já mencionado, as correções com classificação Crítica nesta versão abordam bugs nas extensões de vídeo HEVC e VP9. Essas atualizações podem ser encontradas na Microsoft Store. Se você não estiver conectado à Internet ou estiver em um ambiente desconectado, precisará aplicar o patch manualmente.

Incluindo os já mencionados, há um total de 28 correções RCE lançadas esse mês. Existem atualizações adicionais para o componente de extensão de vídeo HEVC. Novamente, essas correções são obtidas por meio da Microsoft Store. Os bugs de extensão de imagem bruta também se enquadram nessa classe. Existem três correções para o Visio que foram relatadas pelo kdot por meio deste programa ZDI.

Seis das correções deste mês tratam de bugs de divulgação de informações. Na maioria das vezes, isso resulta apenas em vazamentos que consistem em conteúdo de memória não especificado. A única exceção é o bug que afeta a extensão do Skype para Chrome. Essa vulnerabilidade pode divulgar inadvertidamente o ID do Skype de um destino. Um invasor pode obter acesso a esse ID, ele pode combiná-lo no Skype com um nome e Avatar do usuário de destino. Se você estiver usando o Skype para Chrome, precisará obter a atualização por meio da Chrome Web Store.

Há quatro atualizações para corrigir bugs de DoS nesta versão, e duas se destacam sobre as outras. O primeiro é um DoS no Hyper-V, o que é sempre inconveniente se você for um dos outros SOs convidados nesse servidor Hyper-V. A outra é uma vulnerabilidade no protocolo Point-to-Point Tunneling (PPTP), que é usado na implementação de redes privadas virtuais (VPN) que permitem que as pessoas estendam suas redes privadas pela Internet através de “túneis”. Não há detalhes sobre esse bug, mas qualquer coisa que possa derrubar uma VPN não é bem-vinda – especialmente porque muitos de nós dependem de VPNs para trabalhar em casa (ou em qualquer lugar).

O lançamento deste mês inclui três atualizações para bugs de falsificação do Exchange, que pode permitir que um invasor autenticado visualize o conteúdo do arquivo no servidor afetado.

Por fim, temos um bug de adulteração estranho no Microsoft Word. A Microsoft não fornece informações sobre como a vulnerabilidade pode ser explorada, mas indica que as informações da vítima podem ser enviadas ao invasor e que o painel de visualização é um vetor de ataque. Parece que um documento do Word especialmente criado pode enviar informações potencialmente confidenciais a um invasor quando o documento é aberto ou visualizado no painel de visualização. Os usuários do Office para Mac também estão sem sorte, pois os patches para o Microsoft Office 2019 para Mac e o Microsoft Office LTSC para Mac 2021 ainda não estão disponíveis.

Não foram divulgados novos avisos este mês. As atualizações mais recentes da pilha de manutenção podem ser encontradas no ADV990001 revisado.

No mais, aguardaremos os novos patches mês que vem. Mantenha-se protegido e até lá!