Microsoft, kötü niyetli kodları uzaktan yürütmek için vahşi doğada istismar edilen yeni keşfedilen Microsoft Office Zero Day Kusurası'ndan yararlanan saldırıları engellemek için azaltma önlemlerini paylaştı.
Hata, Shadow Chaser Group'un Crazyman tarafından bildirilen bir Microsoft Windows Destek Teşhis Aracı (MSDT) Uzak Kod Yürütme Güvenlik Açığı'dır.
Microsoft şimdi CVE-2022-30190 olarak izliyor. Kusur, hala güvenlik güncellemeleri alan tüm Windows sürümlerini etkiler (Windows 7+ ve Server 2008+).
Güvenlik araştırmacısı NAO_SEC'in bulduğu gibi, tehdit aktörleri tarafından, Redmond'un Word belgelerini açarken veya önizleme sırasında Redmond'un keyfi kod yürütme (ACE) saldırıları olarak tanımladığı şeyde kötü niyetli PowerShell komutlarını yürütmek için kullanılır.
Microsoft, "Bu güvenlik açığını başarıyla kullanan bir saldırgan, arama başvurusunun ayrıcalıklarıyla keyfi kod çalıştırabilir."
"Saldırgan daha sonra programları yükleyebilir, verileri görüntüleyebilir, değiştirebilir veya silebilir veya kullanıcının haklarının izin verdiği bağlamda yeni hesaplar oluşturabilir."
Redmond'a göre, yöneticiler ve kullanıcılar, kötü niyetli aktörlerin sorun giderici başlatmak ve savunmasız sistemlerde kod yürütmek için kullandığı MSDT URL protokolünü devre dışı bırakarak CVE-2022-30190'dan yararlanan saldırıları engelleyebilir.
Bir Windows aygıtındaki MSDT URL protokolünü devre dışı bırakmak için aşağıdaki prosedürden geçmeniz gerekir:
Microsoft bir CVE-2022-30190 yaması yayınladıktan sonra, yükseltilmiş bir komut istemini başlatarak ve Reg Import MS-MSDT.REG komutunu çalıştırarak çözümü geri alabilirsiniz (dosya adı, protokolü devre dışı bırakılırken oluşturulan kayıt defteri yedeklemesinin adıdır).
Microsoft Defender Antivirus 1.367.719.0 veya daha yeni, aşağıdaki imzalar altında olası güvenlik açığı sömürüsü için tespitlerle birlikte geliyor:
Microsoft, Microsoft Office'in korunan görünümünün ve uygulama korumasının CVE-2022-30190 saldırılarını engelleyeceğini söylerken, CERT/CC güvenlik açığı analisti Dormann (ve diğer araştırmacılar), hedefin hedefin önizlemesi durumunda güvenlik özelliğinin kullanma girişimlerini engellemeyeceğini buldu. Windows Gezgini.
Bu nedenle, bu saldırı vektörünü de kaldırması için Windows Gezgini'ndeki önizleme bölmesini devre dışı bırakmanız da tavsiye edilir.
Nisan ayında sıfır gününü ilk tespit eden ve bildiren araştırmacılar olan Shadow Chaser Group'un Crazyman'a göre, Microsoft ilk olarak kusuru "güvenlik ile ilgili bir sorun" olarak etiketledi. Yine de, daha sonra güvenlik açığı gönderme raporunu uzaktan kod yürütme etkisi ile kapattı.
Bu sıfır gün hatasını sömüren ilk saldırılar bir ay önce Sputnik radyo röportajlarına ve sekstorasyon tehditlerine davetler kullanılarak başladı.
BleepingComputer, bu güvenlik açığı hakkında daha fazla bilgi (Follina tarafından şaka yaparak) ve neden güvenlik riski olarak kabul edilmediğini sormak için Microsoft'a ulaştı. Henüz bir cevap almadık, ancak şirket bir açıklama paylaşır paylaşmaz makaleyi güncelleyeceğiz.
GÜNCELLEME: Nisan saldırılarında kullanılan lures hakkında daha fazla bilgi eklendi.
PowerShell'i yürütmek için saldırılarda kullanılan yeni Microsoft Office Zero-Day
Zyxel, saldırıya uğramış ağlara yol açabilecek güvenlik duvarı kusurlarını düzeltiyor
F5 kritik Big-IP RCE hatasını uyarıyor Cihazın devralınmasına izin veriyor
QNAP, kritik QVR uzaktan komut yürütme güvenlik açığını giderir
Aruba ve Avaya ağ anahtarları RCE saldırılarına karşı savunmasızdır
Kaynak: Bleeping Computer