Давайте посмотрим на сентябрьский Microsoft Patch Tues­day. В этот раз компактненько. Всего 63 уязвимости. С учетом уязвимостей вышедших между августовским и сентябрьским Patch Tues­day (как обычно, в Microsoft Edge), получается 90. Весьма и весьма немного.

1. Уязвимостей с публичными эксплоитами пока нет. Есть 3 уязвимости для которых существует Proof-of-Con­cept Exploit по данным из CVSS

Ele­va­tion of Priv­i­lege — Ker­beros (CVE-2022–33679)
Ele­va­tion of Priv­i­lege — Azure Guest Con­fig­u­ra­tion and Azure Arc-enabled servers (CVE-2022–38007)
Ele­va­tion of Priv­i­lege — Win­dows GDI (CVE-2022–34729)

Но вероятность, что это докрутят до боевого состояния невысока.

2. Есть 3 уязвимости с признаком эксплуатации вживую

Ele­va­tion of Priv­i­lege — Win­dows Com­mon Log File Sys­tem Dri­ver (CVE-2022–37969). Можно поднять права до SYSTEM. Затрагивает массу версий Win­dows, есть патчи даже под EOL операционки. Кроме этой уязвимости был пучок виндовых EoP-шек без признаков эксплуатации, например Ele­va­tion of Priv­i­lege — Win­dows Ker­nel (CVE-2022–37956, CVE-2022–37957, CVE-2022–37964)

Secu­ri­ty Fea­ture Bypass — Microsoft Edge (CVE-2022–2856, CVE-2022–3075). Уязвимости Edge это по факту уязвимости Chromi­um. Обратная сторона использования одного и того же движка. Уязвимости Chrome аффектят также Edge, Opera, Brave, Vival­di и прочее.

3. RCE от посланного IP пакета 😱

Remote Code Exe­cu­tion — Win­dows TCP/IP (CVE-2022–34718). "An unau­tho­rized attack­er can use it to exe­cute arbi­trary code on the attacked Win­dows com­put­er with the IPSec ser­vice enabled by send­ing a spe­cial­ly craft­ed IPv6 pack­et to it. This vul­ner­a­bil­i­ty can only be exploit­ed against sys­tems with Inter­net Pro­to­col Secu­ri­ty (IPsec) enabled." IPsec и IPv6 зло, лол. 🙂 Но если серьезно, то скверно, что такое вообще бывает.

И это ещё не все, есть ещё Remote Code Exe­cu­tion — Win­dows Inter­net Key Exchange (IKE) Pro­to­col Exten­sions (CVE-2022–34721, CVE-2022–34722). "An unau­then­ti­cat­ed attack­er could send a spe­cial­ly craft­ed IP pack­et to a tar­get machine that is run­ning Win­dows and has IPSec enabled, which could enable a remote code exe­cu­tion exploita­tion."

4. Denial of Ser­vice — Win­dows DNS Serv­er (CVE-2022–34724). С одной стороны только DoS, с другой стороны работу компании можно неплохо так парализовать.

5. Mem­o­ry Cor­rup­tion — ARM proces­sor (CVE-2022–23960). Фикс для очередного Spec­tre, на этот раз Spec­tre-BHB. Про практическую эксплуатабельность видимо говорить не приходится, так же как и в случае остальных уязвимостей типа Spec­tre, но практически все обзорщики на эту уязвимость внимание обратили.

Полный отчет Vul­ris­tics: https://avleonov.com/vulristics_reports/ms_patch_tuesday_september2022_report_with_comments_ext_img.html