Patch Tuesday de março de 2023: atualizações e análises

May 06, 2024

14 de março de 2023

A Microsoft lançou 80 patches de segurança para o lançamento do Patch Tuesday de março de 2023: 9 vulnerabilidades são classificadas como Críticas, 70 Importantes e 1 Moderada.

Duas vulnerabilidades de dia zero exploradas ativamente que destacaremos mais adiante neste blog foram relatadas pelo fornecedor: uma elevação de privilégio no Microsoft Outlook (CVE-2023-23397) classificada como Crítica e um desvio de recurso de segurança no Windows SmartScreen (CVE-2023- 24880) classificado como Moderado

O principal tipo de risco deste mês é a execução remota de código (40%, abaixo dos 48% em fevereiro de 2023), seguida pela elevação de privilégio em 31% (acima de quase 16% em fevereiro) e divulgação de informações em 22% (acima de 10%). mês passado).

Figura 1. Análise dos tipos de ataque do Patch Tuesday de março de 2023

A família de produtos Microsoft Windows recebeu o maior número de patches este mês (56), seguida pelas Atualizações de Suporte Estendido (20) e pela família de produtos Microsoft Office (10).

Figura 2. Detalhamento das famílias de produtos afetadas pela atualização de terça-feira de março de 2023

CVE-2023-23397, classificada como Crítica, é uma vulnerabilidade que afeta o Microsoft Outlook. Um invasor externo pode enviar um e-mail especialmente criado que causará uma conexão da vítima com um local externo sob controle do invasor. Isso vazará o hash Net-NTLMv2 da vítima para o invasor, que poderá retransmiti-lo para outro serviço e autenticar-se como vítima.

CVE-2023-24880, classificada como Moderada, é uma vulnerabilidade que afeta o Windows SmartScreen. Um invasor pode criar um arquivo malicioso que escaparia das defesas do Mark of the Web (MOTW), resultando em uma perda limitada de integridade e disponibilidade de recursos de segurança, como o Protected View no Microsoft Office, que depende da marcação MOTW. A Microsoft explicou: “Quando você baixa um arquivo da Internet, o Windows adiciona o identificador de zona ou Marca da Web como um fluxo NTFS ao arquivo. Portanto, quando você executa o arquivo, o Windows SmartScreen verifica se há um identificador de zona Alternate Data Stream (ADS) anexado ao arquivo. Se o ADS indicar ZoneId=3, o que significa que o arquivo foi baixado da internet, o SmartScreen faz uma verificação de reputação.”

Figura 3. Vulnerabilidades de dia zero exploradas ativamente e corrigidas em março de 2023

CVE-2023-21708, uma vulnerabilidade RCE que afeta a Chamada de Procedimento Remoto (RPC) e classificada como Crítica, pode resultar na execução remota de código no lado do servidor com as mesmas permissões que o próprio serviço RPC em execução. A Microsoft considera isso “menos provável de ser explorado”.

CVE-2023-23392, uma vulnerabilidade RCE que afeta a pilha de protocolo HTTP no Windows 11 e no Windows Server 2022, é classificada como Crítica. Um invasor não autenticado pode enviar um pacote especialmente criado para um servidor de destino utilizando a pilha de protocolos HTTP (http.sys) para processar pacotes.

CVE-2023-23415, uma vulnerabilidade RCE que afeta o Internet Control Message Protocol (ICMP), é classificada como Crítica. Um invasor pode enviar um erro de protocolo de baixo nível contendo um pacote IP fragmentado dentro de outro pacote ICMP em seu cabeçalho para a máquina alvo. Para acionar o caminho de código vulnerável, um aplicativo no destino deve estar vinculado a um soquete bruto.

CVE-2023-1017 e CVE-2023-1018, classificadas como Críticas, são vulnerabilidades que afetam a Biblioteca de Módulos TPM2.0. Uma vulnerabilidade de gravação fora dos limites permite a gravação de dados de 2 bytes após o final do comando TPM2.0 na rotina CryptParameterDecryption. Um invasor que conseguir explorar essa vulnerabilidade com êxito pode levar à negação de serviço (travando o chip/processo TPM ou tornando-o inutilizável) e/ou à execução arbitrária de código no contexto do TPM.

CVE-2023-23416, uma vulnerabilidade RCE que afeta os serviços criptográficos do Windows, é classificada como Crítica e marcada como “menos provável explorável” pela Microsoft, devido à complexidade do vetor de ataque. Para uma exploração bem-sucedida, um certificado malicioso precisa ser importado para um sistema afetado. Um invasor pode fazer upload de um certificado para um serviço que processa ou importa certificados, ou pode convencer um usuário autenticado a importar um certificado em seu sistema.