奇安信CERT
致力于第一时间为企业级用户提供安全风险通告和有效解决方案。
通告摘要
本月，微软共发布了97个漏洞的补丁程序，其中，VirtualMachineIDE驱动程序、DirectX图形内核、MicrosoftOffice、MicrosoftExchangeServer、HTTP协议栈等产品中的9个漏洞被微软官方标记为紧急漏洞，其中，CVE-2022-21907HTTP协议栈远程代码执行漏洞被微软标记为蠕虫漏洞，微软建议优先修补受此漏洞影响的服务器。利用此漏洞不需要身份认证和用户交互，攻击者仅需发送特制的HTTP请求即可在目标服务器上以提升的权限执行任意代码。有14个漏洞（包括2个紧急漏洞和12个重要漏洞）值得关注。
风险通告
本月，微软共发布了97个漏洞的补丁程序，其中，VirtualMachineIDE驱动程序、DirectX图形内核、MicrosoftOffice、MicrosoftExchangeServer、HTTP协议栈等产品中的9个漏洞被微软官方标记为紧急漏洞，其中，CVE-2022-21907HTTP协议栈远程代码执行漏洞被微软标记为蠕虫漏洞，微软建议优先修补受此漏洞影响的服务器。利用此漏洞不需要身份认证和用户交互，攻击者仅需发送特制的HTTP请求即可在目标服务器上以提升的权限执行任意代码。以下14个漏洞（包括2个紧急漏洞和12个重要漏洞）值得关注，如下表所示：
注：“利用可能”字段包含三个维度（是否公开[Y/N]/是否在野利用[Y/N]/可利用性评估[D/M/L/U/NA]）
需要注意的是本次补丁日包含了对以下6个公开披露的0day漏洞修复，庆幸的是这些漏洞没有被用于在野攻击：
CVE-2021-22947开源Curl远程代码执行漏洞
CVE-2021-36976Libarchive远程代码执行漏洞
CVE-2022-21919Windows用户配置文件服务特权提升漏洞
CVE-2022-21836Windows证书欺骗漏洞
CVE-2022-21839Windows事件跟踪任意访问控制列表拒绝服务漏洞
CVE-2022-21874Windows安全中心API远程代码执行漏洞
另外，以下14个漏洞被微软标记为“ExploitationMoreLikely”，这代表这些漏洞更容易被利用：
CVE-2022-21907HTTP协议堆栈远程执行代码漏洞
CVE-2022-21846MicrosoftExchangeServer远程执行代码漏洞
CVE-2022-21855MicrosoftExchangeServer远程执行代码漏洞
CVE-2022-21969MicrosoftExchangeServer远程执行代码漏洞
CVE-2022-21887Win32k权限提升漏洞
CVE-2022-21882Win32k权限提升漏洞
CVE-2022-21903WindowsGDI权限提升漏洞
CVE-2022-21908WindowsInstaller权限提升漏洞
CVE-2022-21881Windows内核权限提升漏洞
CVE-2022-21916Windows通用日志文件系统驱动程序提升权限漏洞
CVE-2022-21897Windows通用日志文件系统驱动程序提升权限漏洞
CVE-2022-21914Windows远程访问连接管理器权限提升漏洞
CVE-2022-21885Windows远程访问连接管理器权限提升漏洞
鉴于这些漏洞危害较大，建议客户尽快安装更新补丁。
奇安信CERT将持续关注该漏洞进展，并第一时间为您更新该漏洞信息
漏洞描述
本月，微软共发布了97个漏洞的补丁程序，以下14个漏洞被微软标记为“ExploitationDetected”或“ExploitationMoreLikely”，这代表这些漏洞更容易被利用：
CVE-2022-21907HTTP协议堆栈远程执行代码漏洞（N/N/M）
CVE-2022-21846MicrosoftExchangeServer远程执行代码漏洞（N/N/M）
CVE-2022-21855MicrosoftExchangeServer远程执行代码漏洞（N/N/M）
CVE-2022-21969MicrosoftExchangeServer远程执行代码漏洞（N/N/M）
CVE-2022-21887Win32k权限提升漏洞（N/N/M）
CVE-2022-21882Win32k权限提升漏洞（N/N/M）
CVE-2022-21903WindowsGDI权限提升漏洞（N/N/M）
CVE-2022-21908WindowsInstaller权限提升漏洞（N/N/M）
CVE-2022-21919WindowsUserProfileService的权限提升漏洞（Y/N/M）
CVE-2022-21881Windows内核权限提升漏洞（N/N/M）
CVE-2022-21916Windows通用日志文件系统驱动程序提升权限漏洞（N/N/M）
CVE-2022-21897Windows通用日志文件系统驱动程序提升权限漏洞（N/N/M）
CVE-2022-21914Windows远程访问连接管理器权限提升漏洞（N/N/M）
CVE-2022-21885Windows远程访问连接管理器权限提升漏洞（N/N/M）
奇安信CERT对此进行研判，影响较大的14个漏洞（包括2个紧急漏洞和12个重要漏洞）的详细信息如下：
1、CVE-2022-21907HTTP协议堆栈远程执行代码漏洞
2、MicrosoftExchangeServer远程执行代码漏洞
3、Win32k权限提升漏洞
4、CVE-2022-21903WindowsGDI权限提升漏洞
5、CVE-2022-21908WindowsInstaller权限提升漏洞
6、CVE-2022-21919WindowsUserProfileService的权限提升漏洞
7、CVE-2022-21881Windows内核权限提升漏洞
8、Windows通用日志文件系统驱动程序提升权限漏洞
9、Windows远程访问连接管理器权限提升漏洞
奇安信CERT风险评级为：高危
风险等级：蓝色（一般事件）
处置建议
使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞，也可以通过奇安信天擎客户端一键更新修补相关漏洞。
也可以采用以下官方解决方案及缓解方案来防护此漏洞：
Windows自动更新
Windows系统默认启用MicrosoftUpdate，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows8、Windows8.1、WindowsServer2012以及WindowsServer2012R2可通过控制面板进入“Windows更新”，步骤为“控制面板”->“系统和安全”->“Windows更新”）
3、选择“检查更新”，等待系统将自动检查并下载可用更新
4、重启计算机，安装更新
系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
手动安装补丁
另外，对于不能自动更新的系统版本（如Windows7、WindowsServer2008、WindowsServer2008R2），可参考以下链接下载适用于该系统的1月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2022-Jan
产品线解决方案
奇安信天擎终端安全管理系统解决方案
奇安信天擎终端安全管理系统并且有漏洞修复相关模块的用户，可以将补丁库版本更新到：2022.01.12.1及以上版本，对内网终端进行补丁更新。
推荐采用自动化运维方案，如果控制中心可以连接互联网的用户场景，建议设置为自动从奇安信云端更新补丁库至2022.01.12.1版本。
控制中心补丁库更新方式：每天04:00-06:00自动升级，升级源为从互联网升级。
纯隔离网内控制中心不能访问互联网，不能下载补丁库和补丁文件，需使用离线升级工具定期导入补丁库和文件到控制中心。
参考资料
[1]https://msrc.microsoft.com/update-guide/releaseNote/2022-Jan
时间线
2022年1月12日，奇安信CERT发布安全风险通告
点击阅读原文到奇安信NOX-安全监测平台查询更多漏洞详情
奇安信CERT长期招募安全研究员
立即拨打
京公网安备11000002002064号