發布單位:TWCERT/CC
更新日期:2022-09-15
點閱次數:236
Microsoft 於近日推出 2022 年 9 月的 Patch Tuesday 每月例行更新修補包，一共修復 63 個該公司旗下各種產品的資安漏洞，其中包括 5 個嚴重等級資安漏洞，更有 1 個已遭大規模用於駭侵攻擊；用戶應立即將使用中的 Microsoft 各種產品更新至最新版本，以避免遭駭侵者用於攻擊。
以類型來區分，在這次 Patch Tuesday 得到修補的資安漏洞分別如下：
執行權限提升漏洞：18 個；
資安功能略過漏洞：1 個；
遠端執行任意程式碼漏洞：30 個；
資訊洩露漏洞：7 個；
服務阻斷攻擊漏洞：7 個；
Edge – Chromium 瀏覽器組件漏洞：16 個。
本月的 Patch Tuesday 中同時修兩個已知的 0-day 資安漏洞，其中有一個 0-day 漏洞已遭駭侵者大規模用於攻擊；該漏洞的 CVE 編號為 CVE-2022-37969，存於 Windows Common Log 檔案系統驅動程式，駭侵者可用以提升執行權限，取得系統等級權限；已有多家資安廠商如 DBAPPSecurity、Mandiant、CrowdStrike、ZScaler 等發現駭侵者利用此漏洞發動攻擊活動。
另一個獲得修補的 0-day 漏洞是 CVE-2022-23960，屬於 Cache Speculation Restriction 漏洞。
此外，在這次 Patch Tuesday 中獲得修補的 5 個嚴重等級漏洞，有兩個存於 Microsoft Dynamics，兩個存於 Microsoft IKE Extension，另一個存於 Microsoft TCP/IP。
建議 Microsoft 各種作業系統與軟體用戶暨系統管理員，應立即依各該軟體的更新流程，將之更新為最新版本，以免遭到駭侵者利用已公開卻未及更新的軟體漏洞發動攻擊。
相關連結
Security Update Guide
Microsoft September 2022 Patch Tuesday fixes zero-day used in attacks, 63 flaws