Charlie Osborne är en cybersäkerhetsjournalist och fotograf som skriver för ZDNet och CNET från London. PGP-nyckel: AF40821B.
Fullständig bio den 14 december 2021 | Ämne: Säkerhet
Microsoft har släppt 67 säkerhetskorrigeringar för programvara, inklusive sju kritiska problem och ett nolldagsfel som aktivt utnyttjas av cyberbrottslingar.
I Redmond-jättens senaste omgång av patchar, vanligtvis släppt den andra tisdagen i varje månad i det som kallas Patch Tuesday, har Microsoft åtgärdat problem i programvara inklusive Remote Code Execution (RCE) sårbarheter, privilegieskalering säkerhetsbrister, falska buggar och problem med överbelastning av tjänster.
Produkter som påverkas av Microsofts säkerhetsuppdatering i december inkluderar Microsoft Office, Microsoft PowerShell, den Chromium-baserade Edge-webbläsaren, Windows Kernel, Print Spooler och Remote Desktop Client.
Läs vidare:
Din Windows 11-uppgradering är klar. Ska du göra det?
Microsoft beskriver nästa steg med Azure Space; lägger till Airbus som partnerNy testversion av Windows 11 inkluderar funktioner för röståtkomst
Några av de allvarligaste sårbarheterna som lösts i den här uppdateringen är totalt sex nolldagar, även om endast en är känd för att vara aktivt utnyttjad i naturen:
CVE-2021-43890: Detta Windows AppX Installer Spoofing noll-dagars sårbarhet, utfärdade ett CVSS-allvarlighetspoäng på 7,1 och klassificerat som viktigt, är allmänt känt och under exploatering. Microsoft säger att de är “medvetna om attacker som försöker utnyttja denna sårbarhet genom att använda specialgjorda paket” och att buggen beväpnas för att sprida skadlig programvara Emotet/Trickbot/Bazaloader. CVE-2021-41333: Den här Windows Print Spooler Elevation of Privilege-sårbarheten har fått en CVSS-poäng på 7,8 och har gjorts offentlig och har låg attackkomplexitet.
CVE-2021-43880: Denna säkerhetsbrist beskrivs som en Windows Mobile Device Management Elevation of Privilege (EoP) sårbarhet som tillåter lokala angripare att ta bort riktade filer på ett system.
< strong>CVE-2021-43893: James Forshaw från Google Project Zero rapporterade det här problemet (CVSS 7.5), som beskrivs av Microsoft som en EoP i Windows Encrypting File System (EFS).
CVE-2021-43240: Gavde ett CVSS-poäng på 7,8, Microsoft säger att denna brist, en NTFS Set Short Name-förhöjning av behörighetsfel, har proof-of-concept exploateringskod tillgänglig och är känd offentligt.
CVE-2021-43883: Det sista nolldagsfelet påverkar Windows Installer. Det här problemet, tilldelat ett CVSS-poäng på 7,8, kan tillåta obehörig eskalering av behörigheter.
Ytterligare 16 CVE:er i den Chromium-baserade Edge-webbläsaren patchades tidigare denna månad.
Enligt Zero Day Initiative (ZDI) har 887 CVE-tilldelade sårbarheter korrigerats av Microsoft i år. Även om denna siffra kan verka hög, noterar teamet att detta är en minskning med 29 % från 2020 (exklusive Chromium-baserade Edge).
Förra månaden löste Microsoft 55 buggar i novembergruppen med säkerhetskorrigeringar. Totalt tilldelades sex kritiska betyg och 15 var problem med fjärrexekvering av kod. Också Zero-day sårbarheter löstes av teknikjätten.
En månad tidigare tacklade teknikjätten 71 sårbarheter under oktoberpatchtisdagen. Detta inkluderade fyra nolldagarsbrister, varav en exploaterades aktivt i naturen.
I andra Microsoft-säkerhetsnyheter varnade företaget nyligen för att en korrigerad Exchange Server-post-autentiseringsbrist, spårad som CVE-2021-42321, beväpnas i nya attacker – vilket bidrar till det senaste årets problem kring fyra nolldagar i serverplattformen.
Företaget publicerade också nyligen forskning om iranska hotaktörer och deras rankning i det cyberkriminella området. Microsoft säger att det har skett en massiv ökning av statligt sponsrade attacker från Iran i år mot IT-tjänster, trots att de var nära att vara obefintliga 2020.
På sidan av Microsofts Patch Tuesday-runda har andra leverantörer också publicerade säkerhetsuppdateringar som kan nås nedan.
Adobe säkerhetsuppdateringarSAP-säkerhetsuppdateringarVMWare säkerhetsrådIntel säkerhetsuppdateringar Microsoft | Säkerhets-TV | Datahantering | CXO | Datacenter