بروزرسانی‌ها و اصلاحیه‌های بهمن ۱۴۰۰

در بهمن ۱۴۰۰، شرکت‌های مایکروسافت، سیسکو، مک‌آفی‌ اینترپرایز، بیت‌دیفندر، ایسِـت، اف-سکیور، وی‌ام‌ور، ادوبی، گوگل، اپل، موزیلا، اس‌‌ای‌پی، سیتریکس، وردپرس، سامبا و دروپال اقدام به عرضه به‌روزرسانی و توصیه‌نامه امنیتی برای برخی محصولات خود کردند.

در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتای ریاست جمهوری تهیه شده به برخی از بااهمیت‌ترین اصلاحیه‌های بهمن ماه پرداخته شده است.

مـایـکـروسـافـت

در 19 بهمن 1400، شرکت مایکروسافت (Microsoft Corp)، مجموعه ‌اصلاحیه‌های امنیتی ماهانه خود را برای دومین ماه میلادی 2022 منتشر کرد. اصلاحیه‌های مذکور بیش از 40 آسیب‌پذیری را در Windows و محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت هیچ یک از آسیب‌پذیری‌های ترمیم شده این ماه “حیاتی” (Critical) نمی‌باشد و اکثر موارد “مهم” (Important) اعلام شده است.

در درجه‌بندی شرکت مایکروسافت، نقاط ضعفی که سوءاستفاده از آنها بدون نیاز به دخالت و اقدام کاربر باشد، “حیاتی” تلقی شده و اصلاحیه‌هایی که این نوع نقاط ضعف را ترمیم می‌کنند، بالاترین درجه حساسیت یا “حیاتی” را دریافت می‌نمایند. نقاط ضعفی که سوءاستفاده موفق از آنها نیازمند فریب کاربر به انجام کاری باشد یا نیازمند دسترسی فیزیکی به دستگاه هدف باشد، توسط اصلاحیه‌هایی با درجه حساسیت “مهم” برطرف و ترمیم می‌گردند. این مجموعه اصلاحیه‌ها، انواع مختلفی از آسیب‌پذیری‌ها را به شرح زیر در محصولات مختلف مایکروسافت ترمیم می‌کنند:

“ترفیع اختیارات” (Elevation of Privilege)
“اجرای کد به صورت از راه دور” (Remote Code Execution)
“افشای اطلاعات” (Information Disclosure)
“جعل” (Spoofing)
“منع سرویس” (Denial of Service – به اختصار DoS)
“عبور از سد امکانات امنیتی” (Security Feature Bypass)

تنها یک مورد از آسیب‌پذیری‌های ترمیم شده این ماه، از نوع “روز-صفر” (شناسه CVE-2022-21989) می‌باشد، اگر چه خوشبختانه موردی در خصوص بهره‌جویی از آن‌ گزارش نشده است.

مایکروسافت آن دسته از آسیب‌پذیری‌هایی را از نوع روز-صفر می‌داند که پیش‌تر اصلاحیه رسمی برای ترمیم آن‌ها ارائه نشده، جزییات آن‌ها به‌طور عمومی منتشر شده یا در مواقعی مورد سوءاستفاده مهاجمان قرار گرفته است.

تنها ضعف امنیتی “روز-صفر” ترمیم شده این ماه، دارای شناسه CVE-2022-21989 با درجه اهمیت “مهم” و از نوع “ترفیع اختیارات” است که Windows Kernel از آن متأثر می‌شود. آسیب‌پذیری مذکور دارای درجه شدت 7.8 از 10 (بر طبق استاندارد CVSS) می‌باشد ولی با این وجود درجه اهمیت “حیاتی” برای آن درنظر گرفته نشده است زیرا بنا بر اظهارات مایکروسافت، راه‌اندازی این ضعف امنیتی مستلزم انجام اقدامات اضافی جهت آماده‌سازی بستر مورد نظر قبل از سوءاستفاده توسط مهاجم است.

در میان ضعف‌های امنیتی ترمیم شده این ماه، آسیب‌پذیری‌هایی با شناسه‌های CVE-2022-22718 ،CVE-2022-22717 ،CVE-2022-21999 و CVE-2022-21997 همگی از نوع “ترفیع اختیارات” در سرویس Windows Print Spooler هستند. در صورت طراحی و ساخت کد بهره‌جو (Exploit)، مهاجم می‌تواند از این آسیب‌پذیری‌ها برای اجرای کد به عنوان کاربر سیستم با سطح دسترسی و مجوز بالا سوءاستفاده کند. برخی دیگر از آسیب‌پذیری‌های مهم ترمیم شده در ماه فوریه 2022 عبارتند از:

CVE-2022-21984: آسیب‌پذیری از نوع “اجرای کد به صورت از راه دور” در Windows DNS Server می‌باشد. درجه شدت این ضعف امنیتی 8.8 از 10 (بر طبق استادارد CVSS) است. سرور DNS تنها در صورت فعال بودن بروزرسانی‌های پویا، تحت تأثیر این ضعف امنیتی قرار می‌گیرد اما این پیکربندی نسبتاً رایج است. در صورت وجود این تنظیمات در سرور، مهاجم می‌تواند DNS را به طور کامل تصاحب کند و با مجوز و سطح دسترسی بالا، کد مخرب را اجرا کند. از آنجایی که بروزرسانی‌های پویا به‌طور پیش‌فرض فعال نیستند، درجه اهمیت “حیاتی” برای این آسیب‌پذیری در نظر گرفته نشده است. با این حال، اگر سرورهای DNS از بروزرسانی‌های پویا استفاده می‌کنند، باید این ضعف امنیتی را با درجه اهمیت “حیاتی” در نظر گرفت.
CVE-2022-22005: آسیب‌پذیری از نوع “اجرای کد به صورت از راه دور” در Microsoft SharePoint Server است. درجه شدت آن نیز 8/8 از 10 (بر طبق استاندارد CVSS) می‌باشد. مهاجم با سوءاستفاده از این ضعف امنیتی می‌تواند هر کد مخرب NET. دلخواه را بر روی سرور با توجه به مفاد و مجوزهای حساب سرویس SharePoint Web Application اجرا کند. مهاجم جهت بهره‌جویی از این ضعف امنیتی به مجوزهای “Manage Lists” نیاز دارد، به طور پیش‌فرض، کاربران احراز هویت شده می‌توانند سایت‌های خود را ایجاد نموده و در این صورت، کاربر مالک سایت خود بوده و تمام مجوزهای لازم را خواهد داشت.
CVE-2022-23256: آسیب‌پذیری از نوع “جعل” که در Azure Data Explorer شناسایی شده و درجه شدت آن 8/1 از 10 (بر طبق استاندارد CVSS) می‌باشد.
CVE-2022-23274: آسیب‌پذیری از نوع “منع سرویس” و مربوط به Microsoft Dynamics GP می‌باشد و درجه شدت آن 8/3 از 10 (بر طبق استاندارد CVSS) است.
CVE-2022-23280: آسیب‌پذیری “مهم” دیگر ناشی از اشکال Microsoft Outlook در سیستم‌های Mac ا(Microsoft Outlook 2016 for Mac) بوده، درجه شدت آن 5/3 از 10 (بر طبق استاندارد CVSS) است و از نوع “عبور از سد امکانات امنیتی” می‌باشد. این اشکال منجر به نمایش خودکار تصاویر در Preview Pane می‌شود، حتی اگر این گزینه غیرفعال باشد. به خودی خود، بهره‌جویی از این ضعف امنیتی، تنها اطلاعات و نشانی IP مورد نظر را افشا می‌کند. با این حال، ممکن است یک اشکال دوم که بر Image Rendering تأثیر می‌گذارد، با این اشکال ترکیب شود و امکان “اجرای کد از راه دور” را برای مهاجم فراهم کند. لذا در صورت استفاده از Outlook برای سیستم Mac خود، نسخه مورد استفاده بررسی شود و به نسخه‌ به‌روز و ترمیم شده در برابر این ضعف امنیتی بروزرسانی گردد.
CVE-2022-21995: دیگر آسیب‌پذیری است که توسط مایکروسافت در فوریه 2022 ترمیم شده و سوءاستفاده از آن منجر به “اجرای کد از راه دور” در Windows Hyper-V می‌شود. وصله ارائه شده، ضعف امنیتی از نوع Guest-to-host Escape را در سرور Hyper-V ترمیم می‌کند. در این نوع از ضعف امنیتی، می‌توان از یک ماشین مجازی به سیستم عامل میزبان دسترسی یافت. چنانچه سرورهای Hyper-V در سازمان بکار گرفته شده است، توصیه می‌شود این آسیب‌پذیری با درجه اهمیت “حیاتی” در نظر گرفته شود و نسبت به ترمیم آن اقدام گردد.

با توجه به اینکه نمونه اثبات‌گر برخی از ضعف‌های امنیتی این ماه منتشر شده، توصیه می‌شود کاربران در اسرع وقت نسبت به بروز‌رسانی وصله‌ها اقدام نمایند.

فهرست کامل آسیب‌پذیری‌های ترمیم شده توسط مجموعه‌اصلاحیه‌های فوریه 2022 مایکروسافت در گزارش زیر که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتای ریاست جمهوری تهیه شده قابل مطالعه است:

https://afta.gov.ir/fa-IR/Portal/4927/news/view/14608/2025

سـیسـکو

شرکت سیسکو (.Cisco Systems, Inc) در بهمن ماه در چندین نوبت اقدام به عرضه به‌روز‌رسانی‌های امنیتی برای برخی از محصولات خود کرد. این به‌روز‌رسانی‌ها، 15 آسیب‌پذیری را در محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت 4 مورد از آنها “حیاتی”، 4 مورد از آنها از نوع “بالا” (High) و 7 مورد از نوع “متوسط” (Medium) گزارش شده است. آسیب‌پذیری به حملاتی همچون “منع سرویس”، “تزریق فرمان” (Command Injection) و “افشای اطلاعات” از جمله مهمترین اشکالات مرتفع شده توسط به‌روزرسانی‌های جدید هستند. مهاجم می‌تواند از بعضی از این آسیب‌پذیری‌ها برای کنترل سیستم آسیب‌‌پذیر سوء‌استفاده کند. توضیحات کامل در مورد به‌روزرسانی‌های عرضه شده در لینک‌ زیر قابل دسترس است:

https://tools.cisco.com/security/center/publicationListing.x

مـک‌آفـی اینتـرپـرایز

در بهمن 1400، شرکت مک‌آفی اینترپرایز (McAfee Enterprise) نسخه 64۰۰ هسته اجرایی (Engine) را برای محصولات مجهز به ضدویروس سازمانی خود در دسترس عموم قرار داده است. اطلاعات کامل در خصوص تغییرات و موارد بهینه‌سازی شده در لینک زیر قابل مطالعه است:

https://kc.mcafee.com/corporate/index?page=content&id=SNS3336

در بهمن ماه، شرکت مک‌آفی اینترپرایز اقدام به انتشار نسخ جدید زیر کرد:

Endpoint Security 10.7.0 February 2022
Endpoint Security 10.6.1 February 2022
Data Loss Prevention Endpoint 11.9
Threat Intelligence Exchange 3.0.3
MVISION Data Loss Prevention 2202
MVISION Insights February 2022
Web Gateway 10.2.6
Web Gateway 9.2.17
MVISION File and Removable Media (MVISION FRP) version 2201
Content Security Reporter 2.9.0

بـیـت‌دیـفنـدر

در ماه گذشته شرکت بیت‌دیفندر (Bitdefender) نسخ زیر را منتشر کرد:

GravityZone Control Center 6.27.1-4
Bitdefender Endpoint Security Tools for Windows 7.4.4.159
Bitdefender Endpoint Security Tools for Linux 7.0.3.1942
Bitdefender Endpoint Security for Mac 7.4.10.200014
Security Appliance Sandbox 1.0.3.11224
Sandbox Analyzer technology updates 0.2.2203

اطلاعات کامل در خصوص تغییرات و موارد بهینه‌سازی شده در نسخ مذکور در لینک زیر قابل مطالعه است:

https://www.bitdefender.com/business/support/en/77212-48453-release-notes.html

ایـسِـت

شرکت ضدویروس ایسِت (.ESET, LLC) در بهمن ماه با بروزرسانی نسخ ضدویروس برای سیستم‌های عامل Windows آسیب‌پذیری CVE-2021-37852 را ترمیم نمود. نقطه ضعف مذکور در دسته آسیب‌پذیری‌های Local Privilege Escalation قرار می‌گیرد و مهاجم را قادر به سوء‌استفاده از ویژگی AMSI خواهد کرد. جزییات کامل در خصوص آسیب‌پذیری ترمیم شده در لینک زیر قابل دریافت و مطالعه است:

https://support.eset.com/en/ca8223-local-privilege-escalation-vulnerability-fixed-in-eset-products-for-windows

اف-سـکیـور

شرکت ضدویروس اف-سکیور (.F-secure, corp) با انتشار بروزرسانی Capricorn update 2022-02-01_01 آسیب‌پذیری CVE-2021-40837 با درجه اهمیت متوسط را در محصولات این شرکت برطرف نمود. مهاجم با بهره‌جویی از ضعف مذکور قادر خواهد بود به صورت از راه دور هسته اجرایی (Engine) ضدویروس را متوقف کند. توضیحات کامل در این خصوص در لینک زیر قابل دسترس است:

https://www.f-secure.com/en/business/support-and-downloads/security-advisories/cve-2021-40837

وی‌ام‌ور

شرکت وی‌ام‌ور (.VMware, Inc) نیز در ماهی که گذشت با انتشار توصیه‌نامه‌های امنیتی، نسبت به ترمیم چندین ضعف امنیتی با شناسه‌های CVE-2022-22945 ،CVE-2021-22040 ،CVE-2021-22041 ،CVE-2021-22042 ،CVE-2021-22043 و CVE-201-22050 در محصولات زیر اقدام کرد:

VMware ESXi
VMware Workstation Pro / Player (Workstation)
VMware Fusion Pro / Fusion (Fusion)
VMware Cloud Foundation (Cloud Foundation)
VMware NSX Data Center for vSphere (NSX-V)

سوءاستفاده از ضعف‌های امنیتی ترمیم شده توسط این بروزرسانی‌ها، مهاجم را قادر به در اختیار گرفتن کنترل سامانه آسیب‌پذیر و دستیابی به اطلاعات حساس می‌کند. جزییات بیشتر آن در لینک‌‌ زیر قابل مطالعه است:

https://www.vmware.com/security/advisories.html

ادوبـی

در بهمن ماه، شرکت ادوبی (.Adobe, Inc) مجموعه اصلاحیه‌های امنیتی ماه فوریه 2022 را منتشر کرد. اصلاحیه‌های مذکور، در مجموع 17 آسیب‌پذیری را در 6 محصول زیر ترمیم می‌کنند:

بیشترین آسیب‌پذیری ترمیم شده این ماه ادوبی، مربوط به Adobe Illustrator با 13 مورد بوده است که دو مورد از این ضعف‌های امنیتی دارای درجه اهمیت “حیاتی” هستند و دارای شناسه‌های CVE-2022-23186 و CVE-2022-23188 می‌باشند. آسیب‌پذیری‌های مذکور هر دو دارای درجه شدت 7/8 از 10 (بر طبق استاندارد CVSS) هستند و منجر به “اجرای کد دلخواه” (Arbitrary Code Execution) شده و از نوع “سرریز حافظه” (Buffer Overflow) و “نوشتن داده‌های Out-Of-Bounds به اختصار OOB” می‌باشند.

هفت ضعف امنیتی دیگر ترمیم شده در Adobe Illustrator دارای درجه اهمیت “مهم” بوده و منجر به “منع سرویس” (Application Denial of Service) یا “نشت حافظه” (Memory Leak) می‌شوند. باقی 4 آسیب‌پذیری دارای درجه اهمیت “متوسط” (Moderate) می‌باشند.

شرکت ادوبی همچنین در اصلاحیه ماه فوریه 2022 برای هر یک از محصولات After Effects و Creative Cloud تنها یک ضعف امنیتی با درجه اهمیت “حیاتی” به ترتیب به شناسه‌های CVE-2022-23200 و CVE-2022-23203 را برطرف نموده است.

این غول فناوری، در دومین ماه میلادی 2022، تنها یک آسیب‌پذیری با شناسه CVE-2022-23203 را در نرم‌افزار Adobe Photoshop برطرف نمود. ضعف امنیتی مذکور دارای درجه شدت 7/8 از 10 (بر طبق استاندارد CVSS) بوده و از نوع “اجرای کد” می‌باشد.

آسیب‌پذیری برطرف شده دیگر در ماه فوریه 2022، مربوط به محصول Premiere Rush با شناسه CVE-2022-23204 است. این ضعف امنیتی از نوع “ترفیع اختیارات” (Privilege Escalation) می‌باشد. آسیب‌پذیری مذکور مربوط به اشکالی در تحلیل تصاویر JPEG می‌شود و دارای درجه اهمیت “متوسط” است. این اشکال ناشی از عدم اعتبارسنجی مناسب داده‌های ارائه‌شده توسط کاربر بوده و می‌تواند منجر به خوانده شدن داده‌های Out-of-Band – به اختصار OOB – شود.

در 24 بهمن 1400 نیز شرکت ادوبی یک ضعف امنیتی با شناسه CVE-2022-24086 و دارای درجه اهمیت “حیاتی” را در Adobe Commerce و Magento Open Source برطرف نمود.

بنا بر اظهارات شرکت ادوبی، آسیب‌پذیری ترمیم شده با شناسه CVE-2022-24086 در این ماه به طور فعال توسط بهره‌جوها مورد سوءاستفاده قرار گرفته است لذا ادوبی به مشتریان خود توصیه می‌کند که در اسرع وقت اقدام به نصب به‌روزرسانی‌ها کنند. اطلاعات بیشتر در خصوص مجموعه اصلاحیه‌های ماه فوریه 2022 در نشانی زیر قابل مطالعه است:

https://helpx.adobe.com/security/security-bulletin.html

گـوگـل

شرکت گوگل (Google, LLC) در بهمن ماه، در چندین نوبت اقدام به ترمیم آسیب‌پذیری‌های امنیتی مرورگر Chrome کرد. آخرین نسخه این مرورگر که در 25 بهمن ماه انتشار یافت، نسخه 98.0.4758.102 است. فهرست اشکالات مرتفع شده در نشانی‌های‌ زیر قابل دریافت و مشاهده است:

https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop.html

https://chromereleases.googleblog.com/2022/02/stable-channel-update-for-desktop_14.html

اپـل

در بهمن ماه، شرکت اپل (.Apple, Inc) با انتشار به‌روزرسانی، ضعف‌های امنیتی متعددی را در چندین محصول خود از جمله iOS ،iPadOS ،watchOS ،tvOS، Safari ،Security Update Catalina ،macOS Big Sur و macOS Monterey ترمیم و اصلاح کرد. سوءاستفاده از برخی از ضعف‌های مذکور، مهاجم را قادر به در اختیار گرفتن کنترل سامانه آسیب‌پذیر می‌کند. توصیه می‌شود با مراجعه به نشانی زیر، بروزرسانی مربوطه هر چه سریع‌تر اعمال شود.

https://support.apple.com/en-us/HT201222

مـوزیـلا

در ماه گذشته، شرکت موزیلا (Mozilla, Corp) با ارائه بروزرسانی، چند آسیب‌پذیری امنیتی را در مرورگر Firefox و نرم‌افزار Thunderbirdبرطرف کرد. اصلاحیه‌های مذکور، در مجموع 14 آسیب‌پذیری را در محصولات مذکور ترمیم می‌کنند. درجه حساسیت 5 مورد از آن‌ها “بالا”، 8 مورد “متوسط” و 1 مورد “پایین” (Low) گزارش شده است. سوءاستفاده از برخی از ضعف‌های مذکور، مهاجم را قادر به در اختیار گرفتن کنترل دستگاه آسیب‌پذیر می‌کند. توضیحات بیشتر در لینک زیر قابل مطالعه است:

https://www.mozilla.org/en-US/security/advisories/

اس‌ای‌پی

اس‌ای‌پی (SAP SE) نیز در 19 بهمن 1400 با انتشار مجموعه‌اصلاحیه‌هایی، 35 آسیب‌پذیری را در چندین محصول خود برطرف کرد. شدت 8 مورد از این ضعف‌های امنیتی 10 از 10 و یک مورد 9.1 از 10 (بر طبق استاندارد CVSS) گزارش شده است. توصیه می‌شود از آنجایی که اکثر ضعف‌های امنیتی این ماه دارای درجه اهمیت “حیاتی” می‌باشند، با مراجعه به نشانی زیر، بروزرسانی مربوطه هر چه سریع‌تر اعمال شود:

https://wiki.scn.sap.com/wiki/display/PSR/SAP+Security+Patch+Day+-+February+2022

سیتریکس

در ماه گذشته، شرکت سیتریکس (.Citrix Systems, Inc) نیز با عرضه به‌روزرسانی‌ امنیتی، سه آسیب‌پذیری از نوع “منع سرویس” با شناسه‌های CVE-2021-0145 ،CVE-2022-23035 و CVE-2022-23034 را در Citrix Hypervisor و Citrix XenServer ترمیم کرد. مهاجم می‌تواند از این ضعف‌های امنیتی برای کنترل سیستم آسیب‌پذیر سوءاستفاده کند. توصیه می‌شود راهبران امنیتی جزییات ضعف‌های امنیتی مذکور را در آدرس‌ زیر مرور کرده و بروزرسانی‌های لازم را اعمال کنند.

https://support.citrix.com/article/CTX337526

وردپـرس

بنیاد وردپرس (Woprdpress.org) در ماه گذشته، در اقدامی نادر، افزونه UpdraftPlus را در تمام سایتهای مبتنی بر WordPress به طور مستقیم و به اجبار به روز نمود تا یک آسیب‌پذیری با شناسه CVE-2022-0633 و دارای درجه اهمیت از نوع “بالا” (High) را برطرف کند. ضعف امنیتی مذکور دارای درجه شدت 8.5 از 10 (بر طبق استاندارد CVSS) می‌باشد و به مهاجم اجازه می‌دهد تا زمانی که در سایت آسیب‌پذیر، حساب کاربری دارد، آخرین نسخه پشتیبان از پایگاه داده خصوصی سایت را دریافت کند. نسخه‌های 1/16/7 تا 1/22/2 افزونه UpdraftPlus از این آسیب‌پذیری تأثیر می‌پذیرند. آخرین نسخه موجود و پیشنهادی، نسخه 1.22.4 می‌باشد که جزییات آن در نشانی‌های زیر قابل مطالعه است.

https://wordpress.org/plugins/updraftplus/

https://updraftplus.com/updraftplus-security-release-1-22-3-2-22-3/

سـامـبـا

گروه سامبا (Samba Team) با عرضه بروزرسانی، سه ضعف امنیتی با شناسه‌های CVE-2021-44141 ،CVE-2021-44142 و CVE-2022-0336 را در نسخ مختلف نرم‌افزار کدباز Samba برطرف کرد. سوءاستفاده از این ضعف ترمیم شده در اختیار گرفتن کنترل سیستم آسیب‌پذیر را برای مهاجم فراهم می‌کند. فهرست آسیب‌پذیری‌های رفع شده در نشانی‌های زیر قابل مطالعه می‌باشد:

https://www.samba.org/samba/history/security.html

https://www.samba.org/samba/security/CVE-2021-44141.html

https://www.samba.org/samba/security/CVE-2021-44142.html

https://www.samba.org/samba/security/CVE-2022-0336.html

دروپـال

27 بهمن ماه، جامعه دروپال (Drupal Community) با عرضه بروزرسانی‌های امنیتی، ضعف‌های امنیتی با شناسه‌ CVE-2022-25271 را در نسخ 7، 9.2 و 9.3 و CVE-2022-25270 را در نسخ 9.2 و 9.3 اصلاح کرد. سوءاستفاده از بعضی از این آسیب‌پذیری‌ها مهاجم را قادر به در اختیار گرفتن کنترل سامانه می‌کند. توضیحات کامل در این خصوص در نشانی‌های زیر قابل دسترس است.

https://www.drupal.org/sa-core-2022-003

https://www.drupal.org/sa-core-2022-004