Во второй вторник сентября вышли очередные патчи от Microsoft, которые уж точно не стоит игнорировать, поскольку разработчики залатали уязвимость нулевого дня (0-day). Помимо этой бреши, используемой в реальных кибератаках, корпорация избавила пользователей ещё от 63 багов.
Из 63 проблем пять получили статус критических — они позволяют выполнить код удалённо. По классификации уязвимости распределились следующим образом:
- 18 дыр, приводящих к повышению прав
- 1 проблема обхода защитных решений
- 30 уязвимостей удалённого выполнения кода
- 7 багов, допускающих раскрытие информации 7 DoS-проблем
- 16 уязвимостей в Chromium-версии браузера Microsoft Edge
0-day получила идентификатор CVE-2022-37969. В случае эксплуатации она позволяет повысить права с помощью системного драйвера Windows Common Log File System (CLFS). В официальном уведомлении Microsoft говорится следующее:
«Злоумышленник, которому удастся использовать в атаке эту брешь, сможет получить права уровня SYSTEM».
Проблему в безопасности обнаружили исследователи из компаний DBAPPSecurity, Mandiant, CrowdStrike и Zscaler. Полный список сентябрьских патчей выглядит так:
