Microsoft har utgitt 55 sikkerhetsreparasjoner for programvare, inkludert patcher som løser nulldagssårbarheter som aktivt utnyttes i naturen.
Redmond-gigantens siste runde med oppdateringer, vanligvis utgitt den andre tirsdagen i hver måned i det som er kjent som Patch Tuesday, inkluderer reparasjoner for seks kritiske sårbarheter, 15 feil for ekstern kjøring av kode (RCE), informasjonslekkasjer og forhøyelse av privilegerte sikkerhetsfeil, samt problemer som kan føre til forfalskning og tukling.
Produkter påvirket av novembers sikkerhetsoppdatering inkluderer Microsoft Azure, den Chromium-baserte Edge-nettleseren, Microsoft Office – samt tilknyttede produkter som Excel, Word og SharePoint – Visual Studio, Exchange Server, Windows Kernel og Windows Defender.
Les videre:
Microsoft lanserer 'Defender for Business'-plattformen
Microsoft vil nå snike på deg på jobb som aldri før. side
Noen av de mest interessante sårbarhetene som er løst i denne oppdateringen, som alle anses som viktige, er:
CVE-2021-42321: (CVSS:3.1 8.8/7.7). Under aktiv utnyttelse påvirker dette sikkerhetsproblemet Microsoft Exchange Server og kan på grunn av feil validering av cmdlet-argumenter føre til RCE. Angripere må imidlertid autentiseres.CVE-2021-42292: (CVSS:3.1 7.8/7.0). Denne sårbarheten ble også oppdaget som utnyttet i naturen, og ble funnet i Microsoft Excel og kan brukes til å omgå sikkerhetskontroller. Microsoft sier at forhåndsvisningsruten ikke er en angrepsvektor. Ingen oppdatering er for øyeblikket tilgjengelig for Microsoft Office 2019 for Mac eller Microsoft Office LTSC for Mac 2021.CVE-2021-43209: (CVSS:3.1 7.8/6.8). En 3D Viewer-sårbarhet som er offentliggjort, denne feilen kan utnyttes lokalt for å utløse RCE.
CVE-2021-43208: (CVSS:3.1 7.8/6.8). Et annet kjent problem, denne 3D Viewer-sikkerhetsfeilen, kan også bli bevæpnet av en lokal angriper for kodekjøringsformål.
CVE-2021-38631: (CVSS:3.0 4.4/3.9). Denne sikkerhetsfeilen, som finnes i Windows Remote Desktop Protocol (RDP), er også offentliggjort, og kan brukes til å avsløre informasjon.
CVE-2021-41371: (CVSS:3.1 4.4/3.9). Til slutt kan denne RDP-sårbarheten, kjent før patching var tilgjengelig, også utnyttes lokalt for å tvinge frem en informasjonslekkasje.
I følge Zero Day Initiative (ZDI) er dette historisk sett et relativt lavt antall sårbarheter som er løst i løpet av november måned.
“I fjor var det mer enn dobbelt så mange CVE-er fikset,” sier organisasjonen. “Selv tilbake til 2018 da det bare var 691 CVE-er fikset hele året, var det flere november-CVE-er fikset enn i denne måneden. Gitt at desember typisk er en langsommere måned patch-messig, får det en til å lure på om det er et etterslep på patcher som venter på distribusjon på grunn av ulike faktorer.”
I forrige måned løste Microsoft 71 feil i oktober-gruppen med sikkerhetsfikser. Spesielt å merke seg er patcher for totalt fire nulldagers feil, hvorav en ble aktivt utnyttet i naturen, mens tre ble offentliggjort.
En måned før taklet teknologigiganten over 60 sårbarheter i løpet av september-oppdateringen tirsdag. Blant oppdateringene var en rettelse for en RCE i MSHTML.
I nylige Microsoft-nyheter ble Visual Studio 2022 og .NET 6 gjort allment tilgjengelig 8. november. Visual Studio 2022 inkluderer også en oppdatering av noen funksjoner som feilsøkingsforbedringer for utviklere. .NET 6 inkluderer ytelsesforbedringer og er den første versjonen som kan støtte både Windows Arm64 og Apple Arm64 Silicon.
Sammen med Microsofts Patch Tuesday-runde har også andre leverandører publisert sikkerhetsoppdateringer som er tilgjengelig nedenfor.
Adobe-sikkerhetsoppdateringerSAP-sikkerhetsoppdateringerVMWare-sikkerhetsrådIntel-sikkerhetsoppdateringer
Utvalgte
Microsoft advarer mot økning i passordsprøyteangrep Windows 11: Flere PC-er får det nye operativsystemet, men forvent ikke en rask utrulling Politiet stikker sikte på mistenkte bak 1800 angrep som 'skapte kaos over hele verden' De beste Bluetooth-høyttalerne: Her kommer boomen Microsoft | Sikkerhets-TV | Databehandling | CXO | Datasentre