Microsoft исправила 71 уязвимость в рамках мартовского вторника исправлений

Специалисты компании Microsoft устранили 71 уязвимость в рамках вторника исправлений за март 2022 года, включая три критические. Уязвимости удаленного выполнения кода (RCE) составили 40,8% от общего числа проблем, исправленных в этом месяце, за ними следуют уязвимости повышения привилегий (35,2%).

CVE-2022-23277 — критическая RCE-уязвимость в Microsoft Exchange Server. Авторизованный пользователь может воспользоваться уязвимостью для выполнения произвольного кода на уязвимом сервере. Поскольку уязвимости в Exchange активно используются хакерами, организациям следует уделить первоочередное внимание устранению этой проблемы.

CVE-2022-23285 и CVE-2022-21990 — RCE-уязвимости в клиенте удаленного рабочего стола. Обе уязвимости получили оценку в 8,8 балла по шкале CVSSv3. Для эксплуатации уязвимостей злоумышленнику необходимо обманом убедить пользователя подключиться к вредоносному серверу. Успешная эксплуатация позволит преступнику удаленно выполнять код на системе, устанавливать вредоносы, изменять или удалять данные, а также создать новую учетную запись с полными привилегиями.

CVE-2022-24508 — RCE-уязвимость в клиенте и сервере Microsoft Server Message Block 3.0 (SMBv3). Уязвимость была обнаружена в Windows 10 (версии 2004), поэтому она затрагивает только более новые поддерживаемые версии Windows. Хотя для использования этой уязвимости злоумышленник должен пройти аутентификацию, Microsoft настоятельно рекомендует как можно скорее исправить или применить предложенные меры по предотвращению эксплуатации.

CVE-2022-24459 — уязвимость повышения привилегий, затрагивающая службу «Факсы и сканирование» в Windows. Уязвимость получила оценку в 7,8 балла по шкале CVSSv3 и может быть использована локальным авторизованным злоумышленником.

CVE-2022-24512 — RCE-уязвимость, затрагивающая Microsoft.NET и Visual Studio. По данным Microsoft, для эксплуатации уязвимости требуется взаимодействие с пользователем, чтобы активировать полезную нагрузку в уязвимом приложении. Злоумышленник, скорее всего, может заставить пользователя выполнить необходимые действия с помощью социальной инженерии. Для успешной компрометации системы хакеру также потребуется использовать данную проблему вместе с другими уязвимостями.