بروزرسانی‌ها و اصلاحیه‌های تیر 1401

در تیر 1401 شرکت‌های زیر اقدام به عرضه بروزرسانی و توصیه‌نامه امنیتی برای برخی محصولات خود کردند.

در این گزارش که با همکاری شرکت مهندسی شبکه گستر و مرکز مدیریت راهبردی افتای ریاست جمهوری تهیه شده به برخی از بااهمیت‌ترین اصلاحیه‌های تیر ماه پرداخته شده است.

مایکـروسافت

شرکت مایکروسافت (Microsoft Corp)، مجموعه ‌اصلاحیه‌های امنیتی ماهانه خود را برای ماه میلادی جولای 2022 منتشر کرد. اصلاحیه‌های مذکور بیش از 80 آسیب‌پذیری را در Windows و محصولات مختلف این شرکت ترمیم می‌کنند. تنها درجه اهمیت 4 مورد از آسیب‌پذیری‌های ترمیم شده ماه جولای «حیاتی» (Critical) و اکثر موارد دیگر «مهم» (Important) اعلام شده است.

این مجموعه اصلاحیه‌ها، انواع مختلفی از آسیب‌پذیری‌ها را در محصولات مایکروسافت ترمیم می‌کنند:

• «ترفیع اختیارات» (Elevation of Privilege)
• «اجرای کد از راه دور» (Remote Code Execution)
• «افشای اطلاعات» (Information Disclosure)
• «از کاراندازی سرویس» (Denial of Service – به اختصار DoS)
• «عبور از سد امکانات امنیتی» (Security Feature Bypass)
• «دست‌درازی» (Tampering)
• «جعل» (Spoofing)

یک مورد از آسیب‌پذیری‌های ترمیم شده ماه جولای، از نوع «روز-صفر» با شناسه‌ CVE-2022-22047 می‌باشد و به طور گسترده در حملات مورد سوء‌استفاده قرار گرفته است. مایکروسافت آن دسته از آسیب‌پذیری‌هایی را از نوع روز-صفر می‌داند که پیش‌تر اصلاحیه رسمی برای ترمیم آن‌ها ارائه نشده، جزییات آن‌ها به‌طور عمومی منتشر شده یا در مواقعی مورد سوءاستفاده مهاجمان قرار گرفته است.

آسیب‌پذیری‌ CVE-2022-22047 دارای درجه اهمیت «مهم» بوده و از نوع «ترفیع اختیارات» است. این ضعف امنیتی بر روی Windows CSRSS تاثیر می‌گذارد و مهاجم با سوءاستفاده از آن قادر خواهد بود امتیازات در سطح System را بدست آورد. مهاجم معمولاً در کنار این آسیب‌پذیری از باگی از نوع اجرای کد از راه دور که اغلب از طریق یک سند دستکاری شده Office یا Adobe ساخته‌شده، نیز سوءاستفاده می‌کند تا سیستم را تحت کنترل قرار دهد.

چهار مورد از آسیب‌پذیری‌های ترمیم شده دارای درجه اهمیت «حیاتی» با شناسه‌های CVE-2022-30221 ،CVE-2022-22029 ،CVE-2022-22039 و CVE-2022-22038 می‌باشند که در ادامه به بررسی جزئیات این ضعف‌های امنیتی می‌پردازیم.

• ضعف امنیتی با شناسه CVE-2022-22029، از نوع «اجرای کد از راه دور» می‌باشد. مهاجم می‌تواند بدون نیاز به احراز هویت در بستر شبکه، Network File System – به اختصار NFS – را مورد بهره‌جویی قرار دهد. با این حال، به نقل از مایکروسافت، سوءاستفاده از آن پیچیدگی بالایی دارد و به تلاش های مکرر مهاجم از طریق ارسال داده‌های ثابت یا متناوب نیاز دارد.

• دیگر آسیب‌پذیری‌ حیاتی، CVE-2022-22038 می‌باشد که بهره‌جویی از آن نیز به دلیل فراهم نمودن اقدامات اضافی توسط مهاجم نسبتاً دشوار به نظر می‌رسد. این ضعف امنیتی از نوع «اجرای کد از راه دور» بوده و بر Remote Procedure Call Runtime در همه نسخه‌های Windows تاثیر می‌گذارد.

• سومین ضعف امنیتی با درجه اهمیت «حیاتی» ماه جولای نیز از نوع «اجرای کد از راه دور» و دارای شناسه CVE-2022-22039 می‌باشد که NFS از آن تاثیر می‌پذیرد. مهاجم تنها با برنده شدن در شرایط رقابتی (Race Condition) می‌تواند موفق به سوءاستفاده از آن شود لذا احتمالاً این ضعف امنیتی کمتر مورد بهره‌جویی قرار خواهد گرفت.

• آخرین آسیب‌پذیری ترمیم شده با درجه اهمیت «حیاتی» در ماه جولای 2022، ضعفی با شناسه CVE-2022-30221 و از نوع «اجرای کد از راه دور» است. این ضعف امنیتی برWindows Graphics Component تاثیر می‌گذارد. مهاجم باید کاربر را متقاعد کند که به یک سرور RDP مخرب متصل شود. پس از اتصال، سرور مخرب می تواند کدی را از راه دور در سیستم قربانی اجرا کند.

 در ادامه به بررسی جزئیات دیگر آسیب‌پذیری‌های اصلاح شده ماه جولای شرکت مایکروسافت و به ویژه به مواردی که ممکن است بیشتر مورد توجه مهاجمان قرار گیرند، می‌پردازیم.

در میان ضعف‌های‌ ترمیم شده از نوع «دست‌درازی» در ماه جولای 2022، شناسه‌ CVE-2022-30216  بر Windows Server و CVE-2022-33637 بر Microsoft Defender for Endpoint for Linux تاثیر می‌گذارد. هر دوی این ضعف‌های امنیتی دارای درجه اهمیت «مهم» می‌باشند.

دیگر ضعف امنیتی رفع شده  CVE-2022-22048 با درجه اهمیت «مهم» است که قابلیت BitLocker Device Encryption را در سیستم‌عامل Windows تحت تاثیر قرار می‌دهد. بهره‌جویی از آسیب‌پذیری مذکور، مهاجمی را که به دستگاه دسترسی فیزیکی دارد قادر به دستیابی به داده‌های رمزشده خواهد کرد.

علاوه بر این، بروزرسانی ماه جولای 2022 مایکروسافت شامل اصلاحاتی برای چهار آسیب‌پذیری با شناسه‌های CVE-2022-22022 ،CVE-2022-22041، CVE-2022-30206 و CVE-2022-30226 است که همگی از نوع «ترفیع اختیارات» می‌باشند و Windows Print Spooler از آنها تاثیر می‌پذیرد. CVE-2022-22022 و CVE-2022-30226 فقط امکان حذف فایل‌های موردنظر را برای مهاجم فراهم نموده در حالی که CVE-2022-22041 و CVE2022-30206 می‌توانند مهاجم را قادر به کسب امتیاز در سطح SYSTEM می‌نماید.

تقریباً یک سوم از وصله‌های منتشر در ماه جولای مربوط به ضعف‌های Microsoft Azure Site Recovery می‌باشند که مهم‌ترین آنها دارای شناسه CVE-2022-33675 می‌باشد. این آسیب‌پذیری از نوع «ترفیع اختیارات» بوده و به علت وجود باگی در Directory Permission مهاجم را قادر به ارتقای امتیازات خود تا سطح SYSTEM از طریق DLL Hijacking خواهد کرد.

فهرست کامل آسیب‌پذیری‌های ترمیم شده توسط مجموعه‌اصلاحیه‌های جولای 2022 مایکروسافت در گزارش زیر قابل مطالعه است.

https://newsroom.shabakeh.net/24834/newsroom-microsoft-security-update-july-2022.html

سـیسـکو

شرکت سیسکو (.Cisco Systems, Inc) در تیر ماه در چندین نوبت اقدام به عرضه بروز‌رسانی‌های امنیتی برای برخی از محصولات خود کرد. این بروز‌رسانی‌ها، 25 آسیب‌پذیری را در محصولات مختلف این شرکت ترمیم می‌کنند. درجه اهمیت چهار مورد از آنها «حیاتی»، دو مورد از آنها از نوع «بالا» (High) و 19 مورد از نوع «متوسط» (Medium) گزارش شده است. آسیب‌پذیری‌هایی همچون «تزریق کد از طریق سایت» (Cross-Site Scripting)، «خواندن و نوشتن فایل دلخواه» (Arbitrary File Read and Write)، «افشای اطلاعات»، «تزریق فرمان» (Command Injection)، «از کاراندازی سرویس»، «اجرای کد از راه دور» و «ترفیع اختیارات» از جمله مهمترین اشکالات مرتفع شده توسط بروزرسانی‌های جدید هستند. مهاجم می‌تواند از بعضی از این آسیب‌پذیری‌ها برای کنترل سیستم آسیب‌‌پذیر سوء‌استفاده کند. اطلاعات بیشتر در نشانی زیر قابل دسترس می‌باشد.

https://tools.cisco.com/security/center/publicationListing.x

مک‌آفی اینتـرپرایز

در تیر 1401، شرکت مک‌آفی اینترپرایز (McAfee Enterprise) اقدام به انتشار نسخه 6.4.22 نرم‌افزار Application and Change Control for Linux و نسخه 2.2 نرم‌افزار Endpoint Security Storage Protection کرد. جزییات کامل در خصوص باگ‌های برطرف‌شده و قابلیت‌های جدید افزوده‌شده در این نسخ در لینک‌های زیر قابل مطالعه است:

https://docs.trellix.com/bundle/application-change-control-6.4.x-release-notes-linux/

https://kcm.trellix.com/corporate/index?page=content&id=SNS3572

همچنین این شرکت در ماهی که گذشت از ترمیم ضعفی از نوع «ترفیع اختیارات»، با شناسه CVE-2022-2188 و با شدت «متوسط» در Data Exchange Layer Broker خبر داد. اطلاعات بیشتر در مورد بروزرسانی عرضه‌شده در لینک زیر قابل دسترس است.

https://kcm.trellix.com/corporate/index?page=content&id=SB10383

بـیـت‌دیـفنـدر

شرکت بیت‌دیفندر (Bitdefender) در تیر ماه اقدام به انتشار نسخ جدید زیر کرد:

• GravityZone Control Center 6.29.1-2
• Bitdefender Endpoint Security Tools for Windows 7.6.1.203
• Bitdefender Endpoint Security Tools for Linux 7.0.3.2004
• Bitdefender Endpoint Security for Mac 7.6.14.200022

اطلاعات کامل در خصوص تغییرات و بهبودهای لحاظ شده در نسخ مذکور در نشانی زیر قابل مطالعه است.

https://www.bitdefender.com/business/support/en/77212-48453-release-notes.html

وی‌ام‌ور

در ماه گذشته، شرکت وی‌ام‌ور (.VMware, Inc) با انتشار توصیه‌نامه‌ها و بروزرسانی‌های امنیتی، نسبت به ترمیم ضعف‌های امنیتی با شناسه‌های            CVE-2022-29901 ،CVE-2022-28693 ،CVE-2022-23816 ،CVE-2022-23825 ،CVE-2022-31654 ،CVE-2022-31655 ،CVE-2022-22982 و CVE-2021-22048 در محصولات زیر اقدام کرد:

• VMware ESXi
• VMware vRealize Log Insight
• VMware vCenter Server (vCenter Server)
• VMware Cloud Foundation (Cloud Foundation)

سوءاستفاده از ضعف‌های امنیتی ترمیم شده توسط این بروزرسانی‌ها، مهاجم را قادر به در اختیار گرفتن کنترل سامانه آسیب‌پذیر و دستیابی به اطلاعات حساس می‌کند. جزییات بیشتر آن در لینک‌‌ زیر قابل مطالعه است.

https://www.vmware.com/security/advisories.html

ادوبـی

شرکت ادوبی (.Adobe, Inc) مجموعه اصلاحیه‌های امنیتی ماه جولای 2022 را منتشر کرد. اصلاحیه‌های مذکور، ضعف‌های امنیتی را در محصولات زیر ترمیم می‌کنند:

• Adobe RoboHelp
• Adobe Acrobat and Reader
• Adobe Character Animator
• Adobe Photoshop

بیشترین تعداد آسیب‌پذیری ترمیم شده ماه جولای ادوبی، متعلق به Adobe Acrobat and Reader با 22 مورد است. 15 مورد از این ضعف‌های امنیتی «حیاتی» و 7 مورد از آن «مهم» گزارش شده‌اند. بهره‌جویی موفق مهاجم از ضعف‌های امنیتی مذکور منجر به «اجرای کد از راه دور» (Arbitrary Code Execution) یا «نشت حافظه» (Memory Leak) خواهد شد. فریب کاربر به باز نمودن سند PDF دستکاری شده از جمله سناریوهای قابل تصور برای سوءاستفاده از ضعف‌های امنیتی مذکور می‌باشد.

در بروزرسانی ماه جولای 2022، ادوبی یک ضعف امنیتی با درجه اهمیت «حیاتی» و یک مورد با درجه اهمیت «مهم» را در نرم‌افزار Photoshop ترمیم نموده است. آسیب‌پذیری برطرف شده از نوع «حیاتی» مربوط به مشکلات آزادسازی فضای حافظه پس از استفاده از آن (Use-After-Free – به اختصار UAF) می‌باشد که منجر به اجرای کد از راه دور می‌شود. وصله Character Animator دو آسیب‌پذیری «اجرای کد از راه دور» با درجه اهمیت «حیاتی» را برطرف می‌کند یکی از نوع «سرریز حافظه» (Heap Overflow) و دیگری مرتبط با Out-of-Bounds Read (OOB Read) می‌باشند.

در نهایت، وصله RoboHelp تنها یک ضعف با درجه اهمیت «مهم» از نوع «تزریق اسکریپت از طریق سایت» (Cross-site Scripting یا XSS) را ترمیم می‌کند. ادوبی به مشتریان خود توصیه می‌کند که در اسرع وقت اقدام به نصب بروزرسانی‌ها کنند. اطلاعات بیشتر در خصوص مجموعه اصلاحیه‌های ماه جولای 2022 در نشانی زیر قابل مطالعه است.

https://helpx.adobe.com/security/security-bulletin.html

 گـوگـل

شرکت گوگل (Google, LLC) در تیر ماه، در چندین نوبت اقدام به ترمیم آسیب‌پذیری‌های امنیتی مرورگر Chrome کرد. آخرین نسخه این مرورگر که در 28 تیر ماه انتشار یافت، نسخه 103.0.5060.134 است. فهرست اشکالات مرتفع شده در لینک‌‌‌های زیر قابل دریافت و مشاهده است.

https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop.html

https://chromereleases.googleblog.com/2022/07/stable-channel-update-for-desktop_19.html

مـوزیـلا

در ماه گذشته، شرکت موزیلا (Mozilla, Corp) با ارائه بروزرسانی، چند آسیب‌پذیری امنیتی را در مرورگر Firefox و نرم‌افزار مدیریت ایمیل Thunderbird برطرف کرد. این اصلاحیه‌ها، در مجموع 22 آسیب‌پذیری را در محصولات مذکور ترمیم می‌کنند. درجه حساسیت چهار مورد از آنها «بالا»، 14 مورد «متوسط» و چهار مورد «پایین» (Low) گزارش شده است. سوءاستفاده از برخی از ضعف‌های مذکور، مهاجم را قادر به در اختیار گرفتن کنترل دستگاه آسیب‌پذیر می‌کند. توضیحات بیشتر در لینک زیر قابل مطالعه است.

https://www.mozilla.org/en-US/security/advisories/

 اپــل

در تیر ماه، شرکت اپل (.Apple, Inc) با انتشار بروزرسانی، ضعف‌های امنیتی متعددی را در چندین محصول خود از جمله iOS ،iPadOS ،watchOS ،tvOS ،macOS  و Safari  ترمیم و اصلاح کرد. سوءاستفاده از برخی از ضعف‌های مذکور، مهاجم را قادر به در اختیار گرفتن کنترل سامانه آسیب‌پذیر می‌کند. توصیه می‌شود با مراجعه به نشانی زیر، بروزرسانی‌های مربوطه هر چه سریع‌تر اعمال شود.

https://support.apple.com/en-us/HT201222

دروپـال

29 تیر 1401، جامعه دروپال (Drupal Community) با عرضه بروزرسانی‌های امنیتی، یک ضعف‌ امنیتی با شناسه CVE-2022-25276 با درجه اهمیت نسبتاً حیاتی (Moderately critical) را در نسخه‌های 9.4 و 9.3 ترمیم نمود. سوءاستفاده از این آسیب‌پذیری،‌ مهاجم را قادر به در اختیار گرفتن کنترل سامانه می‌کند. با نصب این بروزرسانی‌، نسخه نرم‌افزار Drupal نگارش 9.4 به 9.4.3 و نگارش‌ 9.3به 9.3.19 تغییر خواهند کرد. توضیحات کامل در خصوص این بروزرسانی‌ها و توصیه‌نامه‌های منتشر شده پروژه  Drupal Core، در آدرس‌ زیر در دسترس می باشد.

https://www.drupal.org/sa-core-2022-015

سیتریکس

در سوم تیر ماه، شرکت سیتریکس (.Citrix Systems, Inc) نیز با عرضه بروزرسانی‌های امنیتی، یک آسیب‌پذیری با شناسه‌ CVE-2022-26362 را در  Citrix Hypervisor 7.1 LTSR CU2 ترمیم کرد. مهاجم می‌تواند از این ضعف امنیتی به منظور آلودگی Host و اجرای کدهای دلخواه در یک ماشین مجازی سوءاستفاده کند. توصیه می‌شود راهبران امنیتی جزییات ضعف‌ امنیتی مذکور را در آدرس‌ زیر مرور کرده و بروزرسانی‌ لازم را اعمال کنند.

https://support.citrix.com/article/CTX460064

همچنین این شرکت در 22 تیر، دو ضعف امنیتی با شناسه‌های CVE-2022-23825 و CVE-2022-29900 را در Citrix Hypervisor و XenServer برطرف کرده است. توضیحات کامل درخصوص این بروزرسانی و آسیب‌پذیری‌های مربوطه در نشانی زیر قابل مطالعه است.

https://support.citrix.com/article/CTX461397

اس‌ای‌پی

اس‌ای‌پی (SAP SE) نیز در 21 تیر 1401 با انتشار مجموعه‌اصلاحیه‌هایی، 23 آسیب‌پذیری را در چندین محصول خود برطرف کرد. درجه اهمیت چهار مورد از این ضعف‌های امنیتی «بالا» گزارش شده است. توصیه می‌شود با مراجعه به نشانی زیر، جزئیات مربوطه مطالعه و بروزرسانی اعمال شود.

https://dam.sap.com/mac/app/e/pdf/preview/embed/ucQrx6G?ltr=a&rc=10

 جونیپر نت‌ورکز

جونیپر نت‌ورکز (.Juniper Networks, Inc) هم در تیر ماه با ارائه بروزرسانی چندین ضعف امنیتی را محصولات مختلف این شرکت ترمیم کرد. سوءاستفاده از ضعف‌های مذکور مهاجم را قادر به در اختیار گرفتن کنترل دستگاه آسیب‌پذیر می‌کند. جزییات بیشتر در لینک زیر قابل مطالعه است.

https://kb.juniper.net/InfoCenter/index?page=content&channel=SECURITY_ADVISORIES

اپن‌‌اس‌اس‌ال

14 تیر ماه، بنیاد نرم‌افزاری اپن-‌‌اس‌اس‌ال (.OpenSSL Software Foundation, Inc) با عرضه بروزرسانی‌های امنیتی، ضعف‌های امنیتی متعددی را در نسخه‌های 3.0.4، 1.1.1 و 3.0 نرم‌افزار OpenSSL ترمیم نموده است. با نصب این بروزرسانی‌، نسخه نرم‌افزار OpenSSL نگارش 3.0.4 به 3.0.5، نگارش‌ 1.1.1 به q1.1.1 و نگارش‌ 3.0 به 3.0.5 تغییر خواهند کرد. سوءاستفاده از بعضی از این آسیب‌پذیری‌ها مهاجم را قادر به «اجرای کد از راه دور» می‌کند. از این رو توصیه می‌شود که راهبران امنیتی در اولین فرصت نسبت به ارتقاء این نرم‌افزار اقدام کنند. توضیحات کامل در این خصوص در نشانی‌ زیر قابل دسترس است.

https://www.openssl.org/news/secadv/20220705.txt

اوراکـل

29 تیر 1401، شرکت اوراکل (Oracle Corp) مطابق با برنامه زمانبندی شده سه‌ماهه خود، با انتشار مجموعه ‌بروزرسانی‌های موسوم به Critical Patch Update اقدام به ترمیم 349 آسیب‌پذیری امنیتی در ده‌ها محصول ساخت این شرکت کرد. سوءاستفاده از برخی از آسیب‌پذیری‌های مذکور مهاجم را قادر به در اختیار گرفتن کنترل دستگاه آسیب‌پذیر می‌کند.

لازم به ذکر است که شرکت اوراکل بعد از انتشار بروزرسانی Critical Patch Update Oracle ماه آوریل 2022، هشدار و توصیه‌نامه امنیتی برای ضعف امنیتی به شناسه CVE-2022-21500 در تاریخ 29 اردیبهشت 1401 برای محصول Oracle E-Business Suite صادر نمود. اوراکل تاکید می‌کند که راهبران و کاربران این محصول، بروزرسانی جولای 2022 که شامل وصله‌های تکمیلی این ضعف امنیتی می‌باشد را بدون تأخیر اعمال کنند.

توصیه می‌شود که راهبران هر یک از محصولات اوراکل با مطالعه لینک زیر اقدام به نصب اصلاحیه‌های جدید کنند. جزییات کامل در خصوص آنها در لینک زیر قابل دریافت است.

https://www.oracle.com/security-alerts/cpujul2022.html