اصلاحیه‌های امنیتی مایکروسافت برای پنجمین ماه میلادی 2022

سه‌شنبه 20 اردیبهشت 1401، شرکت مایکروسافت (Microsoft Corp)، مجموعه ‌اصلاحیه‌های امنیتی ماهانه خود را برای ماه میلادی می منتشر کرد. اصلاحیه‌های مذکور بیش از 70 آسیب‌پذیری را در Windows و محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت 6 مورد از آسیب‌پذیری‌های ترمیم شده این ماه “حیاتی” (Critical) و اکثر موارد دیگر “مهم” (Important) اعلام شده است.

در درجه‌بندی شرکت مایکروسافت، نقاط ضعفی که سوءاستفاده از آنها بدون نیاز به دخالت و اقدام کاربر باشد، “حیاتی” تلقی شده و اصلاحیه‌هایی که این نوع نقاط ضعف را ترمیم می‌کنند، بالاترین درجه حساسیت یا “حیاتی” را دریافت می‌نمایند. نقاط ضعفی که سوءاستفاده موفق از آنها نیازمند فریب کاربر به انجام کاری باشد یا نیازمند دسترسی فیزیکی به دستگاه هدف باشد، توسط اصلاحیه‌هایی با درجه حساسیت “مهم” برطرف و ترمیم می‌گردند.

این مجموعه اصلاحیه‌ها، انواع مختلفی از آسیب‌پذیری‌ها را در محصولات مایکروسافت ترمیم می‌کنند:

• “ترفیع اختیارات” (Elevation of Privilege)
• “اجرای کد از راه دور” (Remote Code Execution)
• “افشای اطلاعات” (Information Disclosure)
• “جعل” (Spoofing)
• “از کاراندازی سرویس” (Denial of Service – به اختصار DoS)
• “عبور از سد امکانات امنیتی” (Security Feature Bypass)

آسیب‌پذیری‌های روز-صفر

دو مورد از آسیب‌پذیری‌های ترمیم شده این ماه، از نوع “روز-صفر” (شناسه‌های CVE-2022-26925 و CVE-2022-22713) می‌باشند، یکی به صورت عمومی افشا شده و دیگری به طور گسترده در حملات مورد سوء‌استفاده قرار گرفته است.

مایکروسافت آن دسته از آسیب‌پذیری‌هایی را از نوع روز-صفر می‌داند که پیش‌تر اصلاحیه رسمی برای ترمیم آنها ارائه نشده، جزییات آنها به‌طور عمومی منتشر شده یا در مواقعی مورد سوءاستفاده مهاجمان قرار گرفته است.

آسیب‌پذیری‌های “روز-صفر” ترمیم شده در ماه میلادی می ۲۰۲۲ عبارتند از:

• CVE-2022-26925: این آسیب‌پذیری دارای درجه شدت 8.1 از 10 (بر طبق استاندارد CVSS) بوده و از نوع “جعل” می‌باشد و Windows Local Security Authority (LSA) از آن متاثر می‌شود. این ضعف امنیتی که به طور فعال مورد سوءاستفاده قرار گرفته، در صورت ترکیب و استفاده در حملات NTLM Relay Attack به درجه شدت 9.8 از 10 (بر طبق استاندارد CVSS) می‌رسد.

شرکت مایکروسافت جهت محافظت بیشتر سیستم‌ها در برابر این حملات، دو توصیه‌نامه نیز ارائه داده است. این شرکت به راهبران امنیتی تاکید می‌کند که جهت اطلاع از نحوه کاهش این نوع حملات، با مراجعه به نشانی‌های زیر، نسبت به مطالعه توصیه‌نامه PetitPotam NTLM Relay اقدام نمایند. مایکروسافت توصیه می‌کند که سازمان‌ها جهت ایمن ماندن از گزند این آسیب‌پذیری، وصله سرورهای Domain Controller را در اولویت قرار دهند.

https://support.microsoft.com/en-us/topic/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs-3612b773-4043-4aa9-b23d-b87910cd3429

https://msrc.microsoft.com/update-guide/vulnerability/ADV210003

• CVE-2022-22713: این ضعف امنیتی دارای درجه شدت 5.6 از 10 (بر طبق استاندارد CVSS) بوده و از نوع “ازکاراندازی سرویس” است و Windows Hyper-V از آن تاثیر می‌پذیرد. طبق توضیحات مایکروسافت، بهره‌جویی از این آسیب‌پذیری پیچیدگی بالایی دارد و بعید است که مورد سوءاستفاده قرار گیرد ولی مایکروسافت خاطرنشان کرده که این آسیب‌پذیری به طور عمومی فاش شده است. لذا وصله این بروزرسانی نیز باید در اولویت قرار گیرد.

آسیب‌پذیری‌های حیاتی

شش مورد از آسیب‌پذیری‌های ترمیم شده این ماه، از نوع “حیاتی” (شناسه‌های CVE-2022-21972 ،CVE-2022-23270 ،CVE-2022-26937 ،CVE-2022-26931 ،CVE-2022-26923 و CVE-2022-22017) می‌باشند. در ادامه به بررسی جزییات بیشتر ضعف‌های امنیتی مذکور می‌پردازیم:

اولین ضعف امنیتی با درجه اهمیت “حیاتی” دارای شناسه CVE-2022-26923 دارای درجه شدت 8.8 از 10 (بر طبق استاندارد CVSS) می‌باشد. مهاجم می‌تواند از طریق درج داده‌های دستکاری شده در یک درخواست احراز هویت (certificate) از مجوز صادر شده سوءاستفاده می‌کند. در این صورت مهاجم با کسب مجوز قادر خواهد بود اختیارات یک کنترل‌کننده دامنه (Domain Controller) با سطح دسترسی بالا را کسب کند. بطور کلی، سوءاستفاده از این آسیب‌پذیری به افراد غیرمجاز اجازه می‌دهد تا در هر یک از دامنه‌‌هایی که سرویس Active Directory Certificate  Services را اجرا می‌کنند، مدیر دامنه شوند.

ضعف امنیتی با شناسه CVE-2022-26937 نیز دارای درجه اهمیت “حیاتی” است و درجه شدت آن 9.8 از 10 (بر طبق استاندارد CVSS) می‌باشد. این آسیب‌پذیری اغلب سیستم‌ها را در بسترهایی که دارای سیستم‌عامل مختلط می‌باشند، مورد هدف قرار داده و بر Windows Network File System – به اختصار NFS – تاثیر می‌گذارد. مهاجم احراز هویت نشده از راه دور با بکارگیری یک فراخوان دستکاری شده به سرویس NFS از این آسیب‌پذیری جهت “اجرای کد از راه دور” سوءاستفاده می‌کند.

اگرچه نسخه 4.1 NFS تحت تأثیر این آسیب‌پذیری قرار نمی‌گیرد، مایکروسافت، احتمال بهره‌جویی از این ضعف امنیتی را “زیاد” اعلام نموده است. این شرکت به آن دسته از کاربرانی که نمی‌توانند فوراً این وصله را اعمال کنند، توصیه نموده با مراجعه به نشانی زیر راهکار کاهشی (Mitigations) توصیه‌شده برای غیرفعال کردن نسخه‌های 2 و NFS 3 را بکار گیرند. البته این اقدام کاملاً موقتی است و بروزرسانی‌ها باید در اسرع وقت انجام شوند.

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26937

سومین ضعف‌ امنیتی دارای درجه اهمیت “حیاتی”، شناسه CVE-2022-26931 است که بهره‌جویی از آن در Windows Kerberos امکان “ترفیع اختیارات” را برای مهاجم فراهم می‌سازد. در عین حال مایکروسافت به دلیل پیچیدگی حمله در CVE-2022-26931، احتمال بهره‌جویی از آن را “کم” اعلام نموده است.

قابلیت موسوم به Point-to-Point Tunneling در Windows حاوی دو مورد از جدی‌ترین آسیب‌پذیری‌های  این ماه با درجه اهمیت “حیاتی” است (شناسه‌های CVE-2022-21972 و  CVE-2022-23270) که توسط مایکروسافت ترمیم شده است. این ضعف به مهاجم اجازه می‌دهد تا کدی را “از راه دور” بر روی سرور RAS ا(RSA Authentication Manager) اجرا کند. مایکروسافت اعلام کرد که سوءاستفاده از این آسیب‌پذیری‌ها پیچیده و احتمال انجام آن کم است.

در نهایت آخرین ضعف امنیتی حیاتی ترمیم شده در این ماه دارای شناسه CVE-2022-22017 و درجه شدت 8.8 از 10 (بر طبق استاندارد CVSS) می‌باشد. این ضعف امنیتی Remote Desktop Client را تحت تاثیر قرار می‌دهد. مهاجم باید جهت بهره‌جویی از این آسیب‌پذیری، کاربر مورد نظر را متقاعد کند که به یک سرور RDP مخرب متصل شود. پس از اتصال به سرور مخرب، مهاجم می‌تواند “از راه دور” کد بدافزاری را در سیستم قربانی اجرا کند.

آسیب‌پذیری‌های مورد توجه

در ادامه به بررسی جزئیات دیگر آسیب‌پذیری‌های اصلاح شده این ماه و به ویژه به مواردی که ممکن است بیشتر مورد توجه مهاجمان قرار گیرند، می‌پردازیم.

ده مورد از آسیب‌پذیری‌های ترمیم شده در ماه می 2022 (شناسه‌های CVE-2022-22012 ،CVE-2022-22013 ،CVE-2022-22014 ،CVE-2022-29128، CVE-2022-29129 ،CVE-2022-29130 ،CVE-2022-29131 ،CVE-2022-29137 ،CVE-2022-29139 و CVE-2022-29141) برWindows Lightweight Directory Access Protocol  – به اختصار LDAP – تاثیر می‌گذارند و همگی دارای درجه اهمیت “مهم” بوده و از نوع “اجرای کد از راه دور” می‌باشند.

دیگر آسیب‌پذیری با درجه اهمیت “مهم” که ممکن است مورد توجه مهاجمان قرار گیرد دارای شناسه CVE-2022-21978 می‌باشد و Exchange Server از آن تاثیر می‌پذیرد. مهاجم جهت بهره‌جویی از این آسیب‌پذیری باید قبلاً در یک Exchange Server آسیب‌پذیر، به عنوان عضوی از یک گروه دارای سطح دسترسی بالا، احراز هویت شده باشد و از این طریق می‌تواند برای “ترفیع اختیارات” خود به سطح “سرپرست دامنه” اقدام کند. به نقل از مایکروسافت، با وجود این که این پیش‌نیازها ممکن است احتمال استفاده از این ضعف امنیتی را برای مهاجمان کمتر کند، آسیب‌پذیری‌های Exchange Server همواره یکی از اهداف اصلی مهاجمان بوده‌اند. ضعف‌های امنیتی که می‌توانند برای مهاجمان مجوزهای دسترسی به اختیارات سرپرست دامنه را فراهم کنند، برای آنها بسیار ارزشمند می‌باشند.

چهار مورد از ضعف‌های امنیتی ترمیم شده در این ماه بر روی Windows Print Spooler تاثیر می‌گذارند. از این میان، شناسه‌های CVE-2022-29132 و CVE-2022-29104 از نوع “ترفیع اختیارات” بوده و احتمال بهره‌جویی از آنها “زیاد” است. آسیب‌پذیری‌های Print Spooler در سال گذشته میلادی بارها توسط مهاجمان مورد سوءاستفاده قرار گرفته بود. علاوه بر دو ضعف امنیتی مذکور، آسیب‌پذیری‌ها با شناسه‌های CVE-2022-29140 و CVE-2022-29114 نیز از نوع “افشای اطلاعات” بوده و Print Spooler از آنها متاثر می‌شود.

فهرست کامل آسیب‌پذیری‌های ترمیم شده توسط مجموعه ‌اصلاحیه‌های ماه میلادی می 2022 مایکروسافت در جدول زیر قابل مطالعه است.

منابع:

https://msrc.microsoft.com/update-guide/vulnerability

https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2022-patch-tuesday-fixes-3-zero-days-75-flaws/

https://www.zdnet.com/article/microsoft-may-2022-patch-tuesday-seven-critical-vulnerabilities/

https://www.tenable.com/blog/microsofts-may-2022-patch-tuesday-addresses-73-cves-cve-2022-26925

https://infosectoday.com/cybersecurity/microsoft-patch-tuesday-for-may-2022-snort-rules-and-prominent-vulnerabilities/

https://blog.talosintelligence.com/2022/05/microsoft-patch-tuesday-for-may-2022.html