Sista patch tisdag förföljd av oro över Microsoft sårbarhet svar

Microsoft tappade den senaste Patch Tuesday-uppdateringen någonsin – åtminstone i sin nuvarande form – i går kväll, men säkerhetsforskare uttrycker växande oro över att Microsoft Security Response Center (MSRC) upprepade gånger tappar bollen när det gäller att hantera avslöjanden på ett korrekt sätt.

I går rapporterade Computer Weekly och andra om upplevelsen av Tzah Pahima, en Orca Security-forskare, som väntade nästan sex månader – och bröt två separata patchar – innan Microsoft förseglade en kritisk sårbarhet i Azure Synapse Analytics.

Samtidigt avslöjade vår systertitel SearchSecurity.com att forskare på Tenable var lika missnöjda med Microsofts svar på avslöjandet av två sårbarheter – av en slump också i Azure Synapse. De anklagade Microsoft för bristande transparens i sin rapporteringsprocess.

Via e-postade kommentarer sa Tenables senior forskningsingenjör Claire Tills till Computer Weekly: “Angående Microsofts oroande mönster att avfärda legitima säkerhetsproblem, upptäckte och avslöjade Tenable-forskaren Jimi Sebree två sårbarheter i Microsofts Azure Synapse Analytics, varav en har korrigerats och en som inte har det. Ingen av dessa sårbarheter tilldelades CVE-nummer eller dokumenterades i Microsofts säkerhetsuppdateringsguide för juni.”

Sebree skrev om en “stor kommunikationsavbrott” mellan MSRC och teamet som ansvarar för Azure Synapse.

Forskarnas oro får en extra känsla av brådska med tanke på Microsofts väldokumenterade svar på CVE-2022-30190, nolldagen känd som Follina, som avslöjades i slutet av maj.

Enligt den anonyma hackaren som avslöjade det, en medlem av Shadow Chaser-hotjaktkollektivet som går under handtaget Crazyman, avfärdade MSRC Follina, en sårbarhet med noll klick i Microsoft Office som gör det möjligt för en angripare att utföra PowerShell-kommandon utan användarinteraktion, stängt Crazymans biljett och sa att det inte var ett säkerhetsrelaterat problem. Eftersom det var en nolldag visade det sig bevisligen inte vara fallet på kort sikt.

Computer Weekly kontaktade Microsoft med frågor om dess avslöjandeförfaranden men hade inte fått något svar vid tidpunkten för publiceringen.

Sista fling fixar Follina dårskap

Lyckligtvis för Follina-fruktare fixades sårbarheten verkligen i den senaste Patch Tuesday-uppdateringen, en av 61 unika sårbarheter, och den enda nolldagen som har kommit under aktivt utnyttjande. Men enligt Todd Schell från Ivanti kan det ha varit ett något förhastat tillägg till listan.

“Denna sårbarhet har varit under attack i flera månader. Denna sårbarhet fix måste ha varit ett sent tillägg den här månaden, för även om det dyker upp i sårbarhetslistan i säkerhetsguiden, visades det inte i uppdelningen av CVE:er för varje patch, säger Schell.

Några av de andra mer påverkande sårbarheterna som tas upp i Patch Tuesdays svansång är CVE-2022-30137, en sårbarhet för fjärrkörning av kod (RCE) i Windows Network File System, som har en skyhög CVSS-poäng på 9,8, men som kan anses svårare att utnyttja eftersom en angripare vanligtvis redan behöver ha nätverksåtkomst för att dra nytta av det.

Också värda att notera är CVE-2022-30157 och CVE-2022-30158, båda RCE-sårbarheter i Microsoft SharePoint Server, som återigen kräver att en angripare har etablerat initial åtkomst för att utnyttja.

Kanske mer sannolikt att utnyttjas är CVE 2022-30147, en privilegieskaleringssårbarhet i Windows Installer som påverkar både skrivbords- och servermiljöer, vilket kan visa sig vara användbart för angripare som söker administratörsbehörighet för att – till exempel – exfiltrera data innan de distribuerar ransomware.

“En sårbarhet för exekvering av fjärrkod i Hyper-V låter skrämmande när man tänker på att en angripare, om den utnyttjas, kan flytta från en virtuell gästdator till värden och komma åt alla virtuella datorer som körs. Microsoft har dock markerat denna sårbarhet som mindre sannolik att utnyttjas”

Kev Breen, Immersive Labs

Säkerhetsteam kanske också vill prioritera CVE-2022-30163, en RCE-sårbarhet i Windows Hyper-V. Kev Breen från Immersive Labs kommenterade: “En sårbarhet för exekvering av fjärrkod i Hyper-V låter skrämmande när man tänker på att, om den utnyttjas, kan en angripare flytta från en virtuell gästdator till värden och komma åt alla virtuella datorer som körs.

“Men Microsoft har markerat denna sårbarhet som mindre sannolik att utnyttjas. Detta beror förmodligen på att komplexiteten är hög och kräver att en angripare vinner ett lopp. Vad det villkoret är avslöjas inte. Den här kommer att vara av högt värde för angripare om en metod för att enkelt utnyttja den upptäcks.”

Samtidigt reflekterade Allan Liska från Recorded Future över nästan två decennier av Patch Tuesday-historia. Han sa: “Den första Patch Tuesday släpptes 14 oktober 2003. Patch Tuesday var ursprungligen utformad som ett sätt för Microsoft att släppa alla sina patchar samtidigt och tisdag valdes eftersom det gav systemadministratörer tid att granska och testa patcharna och sedan få dem installerade innan helgen.

“Den första Patch Tuesday hade fem sårbarheter märkta som kritiska av Microsoft, inklusive MS03-046, en sårbarhet för fjärrkörning av kod i Microsoft Exchange.

“Ju mer saker förändras, desto mer förblir de samma. I nästan 20 år har Patch Tuesday varit en häftklammer för systemadministratörer, IT-personal, hemanvändare och analytiker, men den har också länge överlevt sin användbarhet”, sa han.

“Microsoft är i allt högre grad beroende av patchutgåvor utanför cykeln eftersom skurkarna blir bättre på att beväpna sårbarheter och utnyttja dessa sårbara system snabbare. Att överge Patch Tuesday kommer, förhoppningsvis, att tillåta Microsoft att reagera på nya sårbarheter snabbare och få patchar utskjutna snabbare”, tillade Liska.

Autopatch reparation, Autopatch ersätt

Från och med nu kommer, som tidigare rapporterats, Patch Tuesday att ersättas av en ny automatiserad tjänst, Windows Autopatch, tillgänglig för Windows Enterprise E3-licenser och täcker Windows 10, 11 och Windows 365.

Den här tjänsten, som kommer att hålla Windows och Office-programvara på registrerade slutpunkter uppdaterade utan extra kostnad, har utvecklats som svar på den växande komplexiteten i IT-miljöer, som avsevärt har ökat antalet och omfattningen av sårbarheter som säkerhetsteam måste hantera, och gör den andra tisdagen i månaden något fylld.

Microsoft tror att genom att automatisera patchhantering kan det ge snabbare svar på ändringar. Dessutom, tack vare en dedikerad funktion som heter Rings, som kommer att “kaskadera” uppdateringar genom en kärnuppsättning av användarens testenheter för testning och validering (inklusive möjligheten att rulla tillbaka uppdateringen om saker och ting skulle bli päronformade), kan säkerhetsteam förmodligen vara mer säker på att införa nya patchar utan att orsaka problem.

Håll kontakten med oss ​​på sociala medieplattformar för omedelbar uppdatering klicka här för att gå med i vår Twitter och Facebook