Излязоха мартенските обновления за Windows

Microsoft публикува вчера месечните обновления за Windows за март. Пакетът с актуализации по сигурността съдържа решения за 74 документирани уязвимости, като едва три от тях са категоризирани, като критично важни. Всички те са проблеми, които могат да бъдат експлоатирани дистанционно. Трите критични уязвимости засягат Microsoft Exchange Server, както и видеоразширенията HEVC и VP9. Специално внимание заслужават също така и уязвимости в Remote Desktop Client, .NET и Visual Studio, при които експлоатацията може да доведе до изпълнението на код по отдалечен път.

„В случая с Remote Desktop връзката, атакуваща страна с контрол над Remote Desktop Server инстанция може да предизвика изпълнението на произволен код по дистанционен път към клиентската машина, когато жертвата се свърже към атакуващия сървър с уязвим Remote Desktop Client“, пишат от Microsoft.

CVE-2022-23277 е друга уязвимост, на която е нужно да се обърне внимание. Тя е свързана с възможността за изпълнение на зловреден код с повишени привилегии и засяга Exchange Server. Макар и да изисква удостоверяване пред сървъра от атакуващата страна, от Google Zero Day Initiative, които докладват уязвимостта, заявяват, че тук трябва да бъде обърнато специално внимание, тъй като начина за експлоатирането ѝ е сравнително лесен и позволява превземането на Exchange инсталацията.

Възможност за изпълнение на произволен код по дистанционен път позволява също така и CVE-2022-24508 – уязвимост в Windows SMBv3 Client/Server. Тя има оценка на риска (CVSS) от 8.8. Уязвимостта е въведена с нова характеристика в протокола, представена с Windows 10 Версия 2004 и засяга всички нови версии на операционната система. По-старите версии на Windows не са засегнати от нея. Сред другите продукти и услуги на Windows, които получават актуализации по сигурността в мартенския Patch Tuesday са: Windows Event Tracing, Microsoft Defender for Endpoint, Windows Update Stack, Fax and Scan Service, Office и ядрото на Windows, Edge и др.

Междувременно редовните си обновления по сигурността излязоха и за продуктите за Adobe. За отбелязване тук са Illustrator и Adobe After Effects, в които са открити и запушени критични уязвимости.