اصلاحیه‌های‌ مایکروسافت برای چهارمین ماه سال 2022

سه‌شنبه 23 فروردین 1401، شرکت مایکروسافت (Microsoft Corp)، مجموعه ‌اصلاحیه‌های امنیتی ماهانه خود را برای ماه میلادی آوریل منتشر کرد. اصلاحیه‌های مذکور بیش از 100 آسیب‌پذیری را در Windows و محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت ده مورد از آسیب‌پذیری‌های ترمیم شده این ماه “حیاتی” (Critical) و اکثر موارد دیگر “مهم” (Important) اعلام شده است.

در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی ریاست جمهوری تهیه شده به برخی از بااهیمت‌ترین اصلاحیه‌های ماه آوریل 2022 مایکروسافت پرداخته شده است.

این مجموعه اصلاحیه‌ها، انواع مختلفی از آسیب‌پذیری‌ها را در محصولات مایکروسافت ترمیم می‌کنند:

• “ترفیع اختیارات” (Elevation of Privilege)
• “اجرای کد از راه دور” (Remote Code Execution)
• “افشای اطلاعات” (Information Disclosure)
• “جعل” (Spoofing)
• “از کاراندازی سرویس” (Denial of Service – به اختصار DoS)

دو مورد از آسیب‌پذیری‌های ترمیم شده این ماه، از نوع “روز-صفر” (شناسه‌های CVE-2022-26904 و CVE-2022-24521) می‌باشند، یکی به صورت عمومی افشا شده و دیگری به طور گسترده در حملات مورد سوء‌استفاده قرار گرفته است.

مایکروسافت آن دسته از آسیب‌پذیری‌هایی را از نوع روز-صفر می‌داند که پیش‌تر اصلاحیه رسمی برای ترمیم آن‌ها ارائه نشده، جزییات آن‌ها به‌طور عمومی منتشر شده یا در مواقعی مورد سوءاستفاده مهاجمان قرار گرفته است.

آسیب‌پذیری‌های “روز-صفر” ترمیم شده در ماه آوریل ۲۰۲۲ عبارتند از:

• CVE-2022-26904: این آسیب‌پذیری دارای درجه شدت 7 از 10 (بر طبق استاندارد CVSS) بوده و از نوع “ترفیع اختیارات” می‌باشد و Windows User Profile Service  از آن متاثر می‌شود.
• CVE-2022-24521: این ضعف امنیتی دارای درجه شدت 7.8 از 10 (بر طبق استاندارد CVSS) بوده و از نوع “ترفیع اختیارات” است و Windows Common Log File System Driver از آن تاثیر می‌پذیرد.

از آنجایی که اکنون مایکروسافت اصلاحیه‌هایی را برای این ضعف‌های امنیتی به صورت عمومی منتشر نموده، انتظار می‌رود که مهاجمان این آسیب‌پذیری‌ها را تحلیل نموده و نحوه بهره‌جویی از آنها را بیاموزند و احتمالاً به زودی به طور گسترده توسط مهاجمان مورد سوءاستفاده قرار خواهند گرفت. بنابراین، اکیداً توصیه می‌شود که راهبران امنیتی نسبت به اعمال بروزرسانی‌های امنیتی آوریل 2022 در اسرع وقت اقدام کنند.

در ادامه به بررسی جزئیات آسیب پذیری های اصلاح شده این ماه و به ویژه به مواردی که ممکن است بیشتر مورد توجه مهاجمان قرار گیرند، می‌پردازیم.

شایان ذکر است که بنا بر اظهارات مایکروسافت، تا لحظه انتشار این گزارش، هیچ یک از این ضعف‌های امنیتی “حیاتی” که امروز ترمیم شده‌اند، به طور عمومی افشا یا مورد سوءاستفاده قرار نگرفته‌اند. اما از میان این ده آسیب‌پذیری‌ “حیاتی”، دو مورد با شناسه‌های CVE-2022-26809 و CVE-2022-24491 که درجه شدت هر دو 9.8 (بر طبق استاندارد CVSS) است، باید مورد توجه قرار گیرند. این آسیب‌پذیری‌ها به ترتیب بر Remote Procedure Call Runtime و Windows Network File System تأثیر می‌گذارند، و مهاجم می‌تواند با سوءاستفاده از آنها بصورت “از راه دور” کنترل سیستم آسیب‌پذیر را در دست بگیرد.

نیمی از آسیب‌پذیری‌های حیاتی این ماه یعنی پنج مورد بر پروتکل‌ها و قابلیت‌های شبکه، به‌ویژه RPC ،SMB و NFS تأثیر می‌گذارند.

سه آسیب‌پذیری‌ ترمیم شده ‌این ماه بر Windows Remote Procedure Call Runtime – به اختصار RPC، تاثیر می‌گذارند که تنها یک مورد دارای درجه اهمیت “حیاتی” می‌باشد (ضعف امنیتی با شناسه CVE-2022-26809). دو آسیب‌پذیری باقیمانده RPC دارای درجه اهمیت “مهم” می‌باشند (شناسه‌های CVE-2022-24528 و CVE-2022-24492).

در این ماه شش آسیب‌پذیری‌ از نوع “اجرای کد از راه دور” بر روی پروتکل Server Message Block – به اختصارSMB ، تأثیر می‌گذارند که تنها دو مورد دارای درجه اهمیت “حیاتی” هستند (شناسه‌های CVE-2022-24500 و شناسه‌های CVE-2022-24541) و چهار مورد دیگر “مهم” می‌باشند.

دو ضعف امنیتی “حیاتی” دیگر که NFS از آن تاثیر می‌پذیرند، دارای شناسه‌های CVE-2022-24491 و CVE-2022-24497 بوده و احتمال سوءاستفاده از آنها زیاد است. بخش‌ آسیب‌پذیر بطور پیش فرض بر روی سیستم عامل Windows نصب و فعال نیست و این آسیب‌پذیری‌های حیاتی تنها سرورهای Windows را که پروتکل NFS بر روی آنها فعال شده‌اند، می‌توانند تحت تأثیر قرار دهند.

از میان 9 مورد از آسیب‌پذیری‌های ترمیم شده این ماه که Windows Hyper-V را تحت تأثیر قرار می‌دهند (CVE-2022-26785 ،CVE-2022-26783 ،CVE-2022-24539 ،CVE-2022-24537 ،CVE-2022-24490 ،CVE-2022-23268 ،CVE-2022-23257 ،CVE-2022-22009 و CVE-2022-22008)، ضعف‌های امنیتی (CVE-2022-22008 ،CVE-2022-23257 و CVE-2022-24537) دارای درجه اهمیت “حیاتی” می‌باشند.

یکی از سه آسیب‌پذیری حیاتی این ماه در محیط Hyper-V، آسیب‌پذیری CVE-2022-23257 است که برای سوء‌استفاده از آن مهاجم باید یک برنامه‌ کاربردی دستکاری شده را روی Hype-V Guest راه‌اندازی و اجرا کند.

یکی دیگر از سه آسیب‌پذیری حیاتی این ماه در محیط Hyper-V، آسیب‌پذیری با شناسه CVE-2022-24537 است که جهت بهره‌جویی از این ضعف امنیتی، مهاجم باید کاربر را جهت اجرای اسکریپتی دستکاری شده، فریب دهد. با این که این آسیب‌پذیری از نظر درجه اهمیت “حیاتی” در نظر گرفته شده، ولی به نظر می‌رسد که برای بهره‌جویی از آن به شرایط و اقدامات بسیار خاصی نیاز است.

دیگر آسیب‌پذیری “حیاتی” رفع شده در آوریل 2022، شناسه CVE-2022-23259 بوده و محصول Microsoft Dynamic 365 (on-premises) از آن تاثیر می‌پذیرد. این آسیب‌پذیری از نوع “اجرای کد از راه دور” می‌باشد. برای سوءاستفاده از آن، مهاجم باید یک کاربر احراز هویت شده و با تمهیداتی قادر به اجرای فرامین SQL مورد نظر باشد. بدین ترتیب مهاجم می‌تواند با ترفیع اختیارات، از این پس فرامین را به عنوان db_owner در پایگاه داده Dynamics 356 اجرا کند.

دو مورد از آسیب‌پذیری‌های این ماه بر LDAP تأثیر می‌گذارند (شناسه‌های CVE-2022-26919 و CVE-2022-26831)، که ضعف امنیتی CVE-2022-26919  دارای درجه اهمیت “حیاتی” می‌باشد. این آسیب‌پذیری از راه دور در شبکه، توسط یک کاربر احراز هویت شده، قابل بهره‌جویی است.

از سوی دیگر، مایکروسافت یادآوری می‌کند که بهره‌جویی از این ضعف امنیتی، “پیچیدگی بالایی” دارد و حمله تنها در صورتی امکان‌پذیر است که تنظیمات پیش فرض MaxReceiveBuffer تغییر کرده باشد. با این حال، از آنجایی که تعدادی آسیب‌پذیری غیرحیاتی نیز در اصلاحیه‌های این ماه وجود دارد که Active Directory را تحت تاثیر قرار می‌دهند، منطقی است که بروزرسانی این آسیب‌پذیری (CVE-2022-26919) در کنار آن‌ها در اولویت قرار گیرد.

در این ماه دو آسیب‌پذیری از نوع “اجرای کد از راه دور” با درجه اهمیت “مهم” وجود دارد (شناسه‌های CVE-2022-26817 و CVE-2022-26814) که Active Directory را تحت تاثیر قرار می‌دهند. مهاجم در صورت موفقیت در بهره‌جویی از این ضعف‌های امنیتی می‌تواند اجرای کد را در سرویس Active Directory فعال کند. بنابراین، توانایی و موفقیت مهاجم در آلودگی Active Directory در یک سازمان و دسترسی یا ایجاد حساب‌های کاربری با سطح دسترسی ممتاز می‌تواند جهت توسعه و گسترش آلودگی به سیستم‌های مجاور در شبکه توسط مهاجم مورد استفاده قرار گیرد.

18 مورد از آسیب‌پذیری‌های ترمیم شده این ماه بر DNS تأثیر می‌گذارند. همه آنها به جز یک مورد از نوع “اجرای کد از راه دور” می‌باشند. ضعف امنیتی با شناسه CVE-2022-26816 از نوع “افشای اطلاعات” و دارای درجه اهمیت “مهم” می‌باشد.

همچنین این ماه، 15 آسیب‌پذیری در Print Spooler  برطرف شده‌اند. همه آنها دارای درجه اهمیت “مهم” و از نوع “ترفیع اختیارات” می‌باشند. با این که هیچ‌کدام از آنها به‌طور عمومی افشا نشده و هیچ‌کدام تا تاریخ 23 فروردین 1401، مورد سوءاستفاده قرار نگرفته‌اند و احتمال سوءاستفاده از همگی آنها “کم” می‌باشد، به علت تعداد بالای آنها، منطقی است که در اولویت بروزرسانی‌ها قرار داده شوند.

فهرست کامل آسیب‌پذیری‌های ترمیم شده توسط مجموعه ‌اصلاحیه‌های آوریل 2022 مایکروسافت در جدول زیر قابل مطالعه است.

منابع:

https://msrc.microsoft.com/update-guide/vulnerability

https://www.bleepingcomputer.com/news/microsoft/microsoft-april-2022-patch-tuesday-fixes-119-flaws-2-zero-days/

https://www.zdnet.com/article/microsoft-april-2022-patch-tuesday-two-zero-day-vulnerabilities-tackled/

https://news.sophos.com/en-us/2022/04/12/rpc-vulnerability-stands-out-in-a-field-of-128-in-april/