9 月份，Adobe 在 Adobe Experience Manager、Bridge、InDesign、Photoshop、InCopy、Animate 和 Illustrator 中發(fā)布了 7 個(gè)補(bǔ)丁，解決了 63 個(gè)問題。ZDI 高級(jí)漏洞研究員 Mat Powell 報(bào)告了總共 42 個(gè)此類錯(cuò)誤。InDesign的更新是本月最大的補(bǔ)丁，修復(fù)了 8 個(gè)嚴(yán)重級(jí)別和 10 個(gè)重要級(jí)別的漏洞。如果在受影響的系統(tǒng)上打開特制文件，其中最嚴(yán)重的可能會(huì)導(dǎo)致代碼執(zhí)行。Photoshop補(bǔ)丁修復(fù)了10 個(gè) CVE，其中 9 個(gè)被評(píng)為嚴(yán)重。同樣，如果攻擊者可以說服用戶打開惡意文件，他們就可以獲得代碼執(zhí)行。InCopy的修復(fù)修復(fù)了五個(gè)類似的代碼執(zhí)行錯(cuò)誤和兩個(gè)信息泄露錯(cuò)誤。土坯Animate還會(huì)收到針對(duì)兩個(gè)嚴(yán)重代碼執(zhí)行錯(cuò)誤的補(bǔ)丁。

Adobe Bridge的更新更正了 10 個(gè)嚴(yán)重級(jí)別的代碼執(zhí)行錯(cuò)誤和兩個(gè)重要級(jí)別的信息泄露錯(cuò)誤。修補(bǔ)的三個(gè)Illustrator漏洞之一也可能導(dǎo)致代碼執(zhí)行。與前面提到的錯(cuò)誤一樣，用戶需要打開帶有受影響軟件版本的惡意文件。最后，Adobe Experience Manager 的補(bǔ)丁解決了 11 個(gè)重要級(jí)別的錯(cuò)誤，主要是跨站點(diǎn)腳本 (XSS) 種類。

Adobe 本月修復(fù)的所有錯(cuò)誤均未列為公開已知或在發(fā)布時(shí)受到主動(dòng)攻擊。Adobe 將這些更新歸類為部署優(yōu)先級(jí) 3。

2022 年 9 月的 Apple 補(bǔ)丁

昨天，Apple 發(fā)布了 iOS、iPadOS、macOS 和 Safari 的更新。他們還發(fā)布了 watchOS 和 tvOS 的更新，但沒有提供這些補(bǔ)丁中包含的任何修復(fù)的詳細(xì)信息。Apple 修補(bǔ)的兩個(gè)錯(cuò)誤被確定為正在被積極利用。第一個(gè)是不正確的邊界檢查導(dǎo)致的內(nèi)核錯(cuò)誤 (CVE-2022-32917)。影響 iOS 15 和 iPadOS 15、macOS Big Sur 和 macOS Monterey。有趣的是，這個(gè) CVE 也列在 iOS 16 的公告中，但它并沒有被稱為針對(duì)這種操作系統(tǒng)的積極利用。macOS 的 Big Sur 版本還包括對(duì)內(nèi)核中的越界 (OOB) 寫入錯(cuò)誤 (CVE-2022-32894) 的修復(fù)，該錯(cuò)誤也被列為受到主動(dòng)攻擊。最后一點(diǎn)：Apple 在其 iOS 16 公告中指出“即將添加其他 CVE 條目?！?其他錯(cuò)誤也可能影響此版本的操作系統(tǒng)。無論哪種方式，是時(shí)候更新 Apple 設(shè)備了。

不知道，是誰最先開始以訛傳訛說Apple最安全，如果如傳說的那么好，蘋果也不需要開發(fā)補(bǔ)丁了。

本月，微軟漏洞修補(bǔ)記錄算是一個(gè)比較折中的數(shù)字，較上個(gè)月幾乎降低了一半，回到今天的主角。

科技巨頭微軟周二發(fā)布了修復(fù)程序，以消除其軟件系列中的64 個(gè)新安全漏洞，其中包括一個(gè)在現(xiàn)實(shí)世界攻擊中被積極利用的零日漏洞。

在 64 個(gè)錯(cuò)誤中，5 個(gè)被評(píng)為嚴(yán)重，57 個(gè)被評(píng)為重要，1 個(gè)被評(píng)為中等，1 個(gè)被評(píng)為低嚴(yán)重性。這些補(bǔ)丁是微軟本月早些時(shí)候在其基于 Chromium 的 Edge 瀏覽器中解決的16 個(gè)漏洞的補(bǔ)充。

Qualys 漏洞和威脅研究主管 Bharat Jogi 分享的一份聲明中表示：“就發(fā)布的 CVE 而言，與其他月份相比，本周二的補(bǔ)丁可能顯得較為輕松。然而，本月達(dá)到了日歷年的一個(gè)相當(dāng)大的里程碑，MSFT 修復(fù)了 2022 年的第 1000 個(gè) CVE——可能有望超過 2021 年，總共修補(bǔ)了 1,200 個(gè) CVE?！?/p>

有問題的被積極利用的漏洞是CVE-2022-37969（CVSS 分?jǐn)?shù)：7.8），這是一個(gè)影響 Windows 通用日志文件系統(tǒng) ( CLFS ) 驅(qū)動(dòng)程序的權(quán)限提升漏洞，攻擊者可以利用該漏洞在已經(jīng)受到攻擊的系統(tǒng)上獲得 SYSTEM 權(quán)限資產(chǎn)。

微軟在一份公告中說：“攻擊者必須已經(jīng)擁有訪問權(quán)限并能夠在目標(biāo)系統(tǒng)上運(yùn)行代碼。如果攻擊者在目標(biāo)系統(tǒng)上還沒有這種能力，這種技術(shù)不允許遠(yuǎn)程執(zhí)行代碼”。

Rapid7 的產(chǎn)品經(jīng)理 Greg Wiseman 在一份聲明中表示，這家科技巨頭將來自 CrowdStrike、DBAPPSecurity、Mandiant 和 Zscaler 的四組不同研究人員報(bào)告了該漏洞，這可能表明該漏洞在野外被廣泛利用。

CVE-2022-37969 也是自年初以來CVE-2022-24521（CVSS 評(píng)分：7.8）之后 CLFS 組件中第二個(gè)被積極利用的零日漏洞，后者已被微軟作為其解決方案的一部分解決。2022 年 4 月補(bǔ)丁星期二更新。

目前尚不清楚 CVE-2022-37969 是否是 CVE-2022-24521 的補(bǔ)丁繞過。其他值得注意的嚴(yán)重缺陷如下：

• CVE-2022-34718（CVSS 分?jǐn)?shù)：9.8）- Windows TCP/IP 遠(yuǎn)程代碼執(zhí)行漏洞
• CVE-2022-34721（CVSS 評(píng)分：9.8）——Windows Internet 密鑰交換 (IKE) 協(xié)議擴(kuò)展遠(yuǎn)程代碼執(zhí)行漏洞
• CVE-2022-34722（CVSS 評(píng)分：9.8）——Windows Internet 密鑰交換 (IKE) 協(xié)議擴(kuò)展遠(yuǎn)程代碼執(zhí)行漏洞
• CVE-2022-34700（CVSS 分?jǐn)?shù)：8.8）- Microsoft Dynamics 365（本地）遠(yuǎn)程代碼執(zhí)行漏洞
• CVE-2022-35805（CVSS 分?jǐn)?shù)：8.8）- Microsoft Dynamics 365（本地）遠(yuǎn)程代碼執(zhí)行漏洞

微軟在談到 CVE-2022-34721 和 CVE-2022-34722 時(shí)表示：“未經(jīng)身份驗(yàn)證的攻擊者可以將特制的 IP 數(shù)據(jù)包發(fā)送到運(yùn)行 Windows 并啟用 IPSec 的目標(biāo)計(jì)算機(jī)，這可能會(huì)啟用遠(yuǎn)程代碼執(zhí)行漏洞?！?/p>

CVE-2022-37969 - Windows 通用日志文件系統(tǒng)驅(qū)動(dòng)程序特權(quán)提升漏洞通用日志文件系統(tǒng) (CLFS) 中的此錯(cuò)誤允許經(jīng)過身份驗(yàn)證的攻擊者以提升的特權(quán)執(zhí)行代碼。這種性質(zhì)的錯(cuò)誤通常被包含在某種形式的社會(huì)工程攻擊中，例如說服某人打開文件或單擊鏈接。一旦他們這樣做了，額外的代碼就會(huì)以提升的權(quán)限執(zhí)行以接管系統(tǒng)。通常，我們幾乎沒有得到關(guān)于漏洞利用的廣泛范圍的信息。但是，微軟將報(bào)告此錯(cuò)誤的四個(gè)不同機(jī)構(gòu)歸功于四個(gè)不同的機(jī)構(gòu)，因此它可能不僅僅是有針對(duì)性的攻擊。

CVE-2022-34718 - Windows TCP/IP 遠(yuǎn)程代碼執(zhí)行漏洞這個(gè)嚴(yán)重級(jí)別的錯(cuò)誤可能允許遠(yuǎn)程、未經(jīng)身份驗(yàn)證的攻擊者在受影響的系統(tǒng)上以提升的權(quán)限執(zhí)行代碼，而無需用戶交互。這正式將其歸入“可蠕蟲”類別，并獲得 9.8 的 CVSS 評(píng)級(jí)。但是，只有啟用了 IPv6 并配置了 IPSec 的系統(tǒng)易受攻擊。雖然對(duì)某些人來說是個(gè)好消息，但如果您使用的是 IPv6（很多人都在使用），那么您可能也在運(yùn)行 IPSec。絕對(duì)要快速測(cè)試和部署此更新。

CVE-2022-34724 - Windows DNS 服務(wù)器拒絕服務(wù)漏洞此錯(cuò)誤僅被評(píng)為重要，因?yàn)闆]有機(jī)會(huì)執(zhí)行代碼，但由于其潛在影響，您可能應(yīng)該將其視為嚴(yán)重。未經(jīng)身份驗(yàn)證的遠(yuǎn)程攻擊者可以在您的 DNS 服務(wù)器上創(chuàng)建拒絕服務(wù) (DoS) 條件。目前尚不清楚 DoS 是否只是殺死了 DNS 服務(wù)或整個(gè)系統(tǒng)。關(guān)閉 DNS 總是很糟糕，但由于云中有如此多的資源，丟失指向這些資源的 DNS 對(duì)許多企業(yè)來說可能是災(zāi)難性的。

CVE-2022-3075 - Chromium：CVE-2022-3075 Mojo 中的數(shù)據(jù)驗(yàn)證不足 此補(bǔ)丁由 Google Chrome 團(tuán)隊(duì)于 9 月 2 日發(fā)布，因此這更像是“以防萬一你錯(cuò)過了它”。此漏洞允許在受影響的基于 Chromium 的瀏覽器（如 Edge）上執(zhí)行代碼，并且已在野外檢測(cè)到。這是今年在野外檢測(cè)到的第六個(gè) Chrome 漏洞。這一趨勢(shì)表明，近乎無處不在的瀏覽器平臺(tái)已成為攻擊者的熱門目標(biāo)。確?；?Chromium更新所有系統(tǒng)。

Microsoft 還解決了Microsoft ODBC 驅(qū)動(dòng)程序、Microsoft OLE DB Provider for SQL Server 和 Microsoft SharePoint Server中的 15 個(gè)遠(yuǎn)程代碼執(zhí)行漏洞，以及跨越 Windows Kerberos 和 Windows Kernel 的五個(gè)權(quán)限提升漏洞。

9 月的版本更值得注意的是，它修補(bǔ)了 Print Spooler 模塊（ CVE-2022-38005 ，CVSS 分?jǐn)?shù)：7.8）中的另一個(gè)特權(quán)提升漏洞，該漏洞可能被濫用以獲得系統(tǒng)級(jí)權(quán)限。最后，包括在大量安全更新中的是芯片制造商 Arm 針對(duì)今年 3 月初曝光的稱為分支歷史注入或Spectre-BHB (CVE-2022-23960)的推測(cè)執(zhí)行漏洞發(fā)布的修復(fù)程序。

Jogi 說：“這類漏洞給試圖緩解的組織帶來了很大的麻煩，因?yàn)樗鼈兺ǔＰ枰虏僮飨到y(tǒng)、固件，在某些情況下，還需要重新編譯應(yīng)用程序和加固，如果攻擊者成功利用此類漏洞，他們就可以訪問敏感信息?！?/p>