Windows i Łatkowy Wtorek października: Microsoft i Intel

Comiesięczny pakiet aktualizacji zabezpieczeń okazuje się tym razem dość mało spektakularny i wypada blado na tle niektórych poprzednich w tym roku. Choć Kaspersky grzmi, że jedna z łatanych podatności (CVE-2021-40449) jest wykorzystywana przez przestępców, w praktyce dotyczy ona lokalnego podniesienia uprawnień. Czyli najpierw trzeba się zalogować, a potem zrobić coś głupiego.

Pozostałe problemy są, również będąc lokalnymi, mniejszego kalibru i istotności. Sieciowy atak na DNS (CVE-2021-40469) wydaje się być ważny, ale lakoniczny opis wskazuje na to, że jest bardzo skomplikowany. O wiele ciekawsze jest to, że dotyczy zarazem Windows Server 2022, jak i 2008, co oznacza, że znajduje się w kodzie od ponad czternastu lat.

Zidentyfikowano dwie podatności w Hyper-V (CVE-2021-38672, CVE-2021-40461), pozwalające na ucieczkę z maszyny wirtualnej. Potrzebne do tego ataki są obecnie wysoce teoretyczne i bardzo skomplikowane, więc nie wiadomo nic o wykorzystywaniu ich wcześniej. Mamy także dziury w pakiecie Office, gdzie Word umożliwia wykonanie kodu bez ostrzeżenia, nawet bez otwierania dokumentu (wystarczy panel podglądu, który de facto uruchamia proces WINWORD.EXE na swoje potrzeby). Office 365 aktualizuje się sam.

To wszystko nie oznacza, że październikowe aktualizacje można swobodnie zignorować. Zestawienie "bezdotykowego" wykonania kodu w Wordzie z możliwością podniesienia uprawnień bez konieczności eskalacji UAC to doskonały przepis na ransomware. Argument "wystarczy, że nie włączę makr, a poza tym mam antywirusa" jest tu bowiem całkowicie chybiony. Dlatego komputery, na których pracuje się z dużą liczbą dokumentów z niepewnych miejsc, powinny zostać prędko zaktualizowane.

Aktualizacje nie ominęły też Intela, choć tu jest jeszcze spokojniej. Mamy do czynienia z wyciekiem danych przez HAXM (co jest dość skomplikowanym scenariuszem) oraz słabością związaną z SGX. Błędy bezpieczeństwa SGX są zawsze zabawne, ponieważ jest to enklawa zaprojektowana właśnie na potrzeby zabezpieczeń, która w dodatku dość brzydko się zestarzała. Tym razem Intel musiał załatać SDK. Oprogramowanie skompilowane z obsługą SGX2 za jego pomocą umożliwiało podniesienie uprawnień. Ale to temat raczej dla programistów.

Aktualizacje od Microsoftu czekają w Windows Update. Najnowsza waży 620 megabajtów.