Microsoft wydaje łatę dla aktywnej luki zero day w systemie Windows

Czas czytania: 2 min

Dzień po tym, jak Apple i Google wydali pilną aktualizację bezpieczeństwa, Microsoft również wprowadza swoje poprawki. W ramach comiesięcznej aktualizacji we wtorek załatano 66 luk w zabezpieczeniach systemu Windows oraz innych komponentach takich jak Azure, Office, BitLocker, Visual Studio. Został również rozwiązany problem luki zero day MSHTML, który wyszedł na jaw w zeszłym tygodniu.

Spośród tych 66 luk, trzy oceniono jako krytyczne, 62 jako ważne oraz jedną jako umiarkowanie ważną. Do listy zamkniętych luk nie wchodzą te zamknięte początkiem miesiąca, które zostały zlokalizowane w przeglądarce Microsoft Edge.

Najważniejsza z aktualizacji dotyczy poprawki dla CVE-2021-40444 (CVSS score 8.8) która aktywnie wykorzystywała luki w MSHTML. Luka wykorzystuje dokumenty Microsoft Office, które posiadają załadowane złośliwe oprogramowanie. Badacze EXPMON wypowiedzieli się, że: “Exploit wykorzystuje błędy logiczne, więc jego wykorzystanie jest całkowicie wiarygodne”.

Rozwiązano również problem z publicznie ujawnioną luką. Dziura zero day w Windows DNS oznaczono jako CVE-2021-36968 i oceniono w skali dotkliwości na 7.8. Polegała ona na podnoszeniu przywilejów.

Inne warte odnotowania luki usunięte przez Microsoft obejmują szereg błędów związanych ze zdalnym wykonywaniem kodu w Open Management Infrastructure (CVE-2021-38647), Windows WLAN AutoConfig Service (CVE-2021-369657), Office (CVE-2021-38659), Visual Studio (CVE-2021-36952) i Word (CVE-2021-38656), a także błąd związany z uszkodzeniem pamięci w Windows Scripting Engine (CVE-2021-26435).

Co więcej, producent Windows naprawił trzy błędy związane z eskalacją przywilejów. Odkryte niedawno w usłudze Print Spooler (CVE-2021-38667, CVE-2021-38671 i CVE-2021-40447), podczas gdy CVE-2021-36975 i CVE-2021-38639 (CVSS score: 7.8), oba związane z lukami podwyższającymi przywileje w Win32k, są wymienione jako “wykorzystanie bardziej prawdopodobne”, co sprawia, że użytkownicy muszą szybko zastosować aktualizacje bezpieczeństwa.