2022年的第一个补丁星期二修复了一个严重的“可工作”Windows漏洞

周二，微软启动了2022年的第一套更新，在其软件生态系统中堵塞了96个安全漏洞，同时敦促客户优先修补其所谓的关键“可攻击”漏洞。

在96个漏洞中，有9个被评为严重漏洞，89个被评为严重漏洞，在发布时有6个零天是公开的。此外，微软Edge于2022年1月6日修补了29个问题。所有公开的漏洞都没有被列为受到攻击。

这些补丁覆盖了这家计算巨头的一系列产品组合，包括Microsoft Windows和Windows组件、Exchange Server、Microsoft Office和Office组件、SharePoint Server。NET Framework、Microsoft Dynamics、开源软件、Windows Hyper-V、Windows Defender和Windows远程桌面协议（RDP）。

其中最主要的是CVE-2022-21907（CVSS分数：9.8），这是一个源于HTTP协议栈的远程代码执行漏洞。“在大多数情况下，未经验证的攻击者可以利用HTTP协议栈（HTTP.sys）向目标服务器发送精心编制的数据包来处理数据包，”微软在其公告中指出。

俄罗斯安全研究人员米哈伊尔·梅德韦杰夫（Mikhail Medvedev）被认为是发现和报告错误的功臣，这家总部位于雷德蒙德的公司强调，这是一个可攻击的错误，这意味着触发和传播感染不需要用户交互。

Virsec首席架构师丹尼·金（Danny Kim）说：“尽管微软提供了一个官方补丁，但这个CVE再次提醒人们，软件功能允许攻击者滥用功能进行恶意行为。”。

作为周二更新补丁的一部分，微软还解决了六个零天的问题，其中两个是关于开源库curl和libarchive的第三方修复的集成。

• CVE-2021-22947（CVSS分数：不适用）和#8211；开源curl远程代码执行漏洞
• CVE-2021-36976（CVSS分数：不适用）和#8211；开源libarchive远程代码执行漏洞
• CVE-2022-21836（CVSS分数：7.8）和#8211；Windows证书欺骗漏洞
• CVE-2022-21839（CVSS得分：6.1）和#8211；Windows事件跟踪自主访问控制列表拒绝服务漏洞
• CVE-2022-21874（CVSS分数：7.8）和#8211；Windows安全中心API远程代码执行漏洞
• CVE-2022-21919（CVSS分数：7.0）和#8211；Windows用户配置文件服务权限提升漏洞

另一个值得注意的关键漏洞涉及Windows Internet Key Exchange（IKE）2版中的远程代码执行漏洞（CVE-2022-21849，CVSS分数：9.8），微软表示，远程攻击者可以将其武器化，以“在未经验证的情况下触发多个漏洞”

除此之外，该补丁还修复了影响Exchange Server、Microsoft Office（CVE-2022-21840）、SharePoint Server、RDP（CVE-2022-21893）和Windows弹性文件系统的许多远程代码执行缺陷，以及Active Directory域服务、Windows帐户控制、，Windows清理管理器和Windows Kerberos等。

值得强调的是，CVE-2022-21907和Exchange Server中发现的三个缺陷（CVE-2022-21846、CVE-2022-21855和CVE-2022-21969，CVSS分数：9.0）都被标记为“更有可能被利用”，因此必须立即应用补丁以应对针对这些缺陷的潜在现实攻击。美国国家安全局（NSA）因标记CVE-2022-21846而被承认。

Qualys漏洞和威胁研究主管巴拉特·乔吉（Bharat Jogi）说：“周二发布的这一大规模补丁正值安全行业陷入混乱之际，专业人士正在加班修复Log4Shell—；据报道这是几十年来最严重的漏洞。”。

“Log4Shell[…；]Jogi补充道：“让人们认识到，对组织在其环境中使用的所有东西进行自动清点的重要性。”他说，“现在需要为具有定义日程的事件（如MSFT Patch Tuesday）自动部署补丁程序，因此，安全专业人员可以集中精力，有效应对构成卑鄙风险的不可预测事件。"

来自其他供应商的软件补丁

Besides Microsoft, security updates have also been released by other vendors to rectify several vulnerabilities, counting —

• 土砖
• 安卓
• 思科
• 思杰公司
• 谷歌浏览器
• Juniper网络
• Linux发行版Oracle Linux、Red Hat和SUSE
• Mozilla Firefox、Firefox ESR和Thunderbird
• 桑巴舞
• 液
• 施耐德电气
• 西门子
• VMware，以及
• WordPress