Вторник патчей, апрель 2022: Windows 11 и Windows 10 получат обновления безопасности

В марте Microsoft исправила относительно небольшое количество уязвимостей. Практически все они получили рейтинг опасности «Важный», и только одна уязвимость в Microsoft Exchange Server имела «Критический» статус. Сможет ли апрельский «Вторник Патчей» обеспечить поток критических исправлений, который ожидался в прошлом месяце?

Улучшения безопасности для Windows 11

Microsoft уделила внимание уровню безопасности сразу нескольких областей ОС. Ранее на этой неделе Редмонд объявил о расширенном наборе улучшений защиты Windows 11 на основе концепции «безопасность от чипа до облака». Новые функции и улучшения используют преимущества аппаратной поддержки от нового процессора Pluton Security Processor на уровне микросхемы вплоть до облачной защиты на базе фильтра SmartScreen Защитника Windows для предотвращения фишинга и внедрения вредоносного ПО с веб-сайтов.

Также улучшены и другие функции безопасности: Credential Guard, блокировка конфигурации (Config Lock), персональная защита данных (Personal Data Protection) и целостность кода, защищенная гипервизором (HVCI). Microsoft также анонсировала новую службу Windows Autopatch, предназначенную для клиентов Windows Enterprise E3.

Spring4Shell

В этом месяце было раскрыто много серьезных уязвимостей, в том числе уязвимость в Spring Framework с идентификатором CVE-2022-22965, также известная как Spring4Shell или SpringShell. Spring Framework — это платформа Java, используемая для поддержки разработки приложений Java.

Последние отчеты показывают, что, хотя многие платформы могут содержать эту уязвимость, лишь небольшой процент из них открыт для эксплуатации из-за конкретной конфигурации среды. В любом случае, как и в случае с Log4j, вам следует просканировать свои системы и обновить их до последней версии, чтобы установить исправление.

Apple и VMware

Apple объявила о двух уязвимостях нулевого дня, CVE-2022-22675 и CVE-2022-22674, а также предоставила обновления для iOS 15 и Monterey. По-прежнему ожидаются обновления для Catalina и Big Sur.

В бюллетени безопасности VMSA-2022-0011 компания VMware сообщила о восьми различных уязвимостях в пяти различных продуктах, включая VMware Workspace ONE Access. Пять уязвимостей получили рейтинг «Критический» и рейтинг CVSS от 9,1 до 9,8 баллов. В отличие от уязвимостей Spring и Apple, данные уязвимости не замечены в реальных атаках. Администраторам следует запланировать включение соответствующих обновлений для этих продуктов.

Каталог CISA

Агентство по кибербезопасности и защите инфраструктуры США (CISA) продолжает реагировать на активизацию внешней активности, добавляя известные эксплуатируемые уязвимости. Сейчас в каталоге CISA насчитывается 616 позиций. Несмотря на то, что государственные учреждения обязаны устранять уязвимости к указанным датам, этот каталог является хорошей отправной точкой для всех, кто ищет высокоприоритетные уязвимости для выявления и исправления в своих системах.

Прогноз на «Вторник Патчей», апрель 2022 года:

• Ожидается, что Microsoft представит больше критических обновлений в этом месяце. Обычный набор обновлений будет доступен для всех операционных систем, включая Windows 10 и Windows 11, Для Windows 7 и Server 2008 будут доступны расширенные обновления безопасности (ESU). Программа ESU завершается в январе 2023 года, поэтому остается не так много времени для миграции. Microsoft Office и Exchange Server, скорее всего, получат незначительные обновление.
• Компания Adobe выпустила крупные обновления Acrobat и Reader.
• Исправление нулевого дня для iOS 15 и macOS Monterey уже вышло, поэтому ждем подобных обновлений для Catalina и Big Sur в ближайшее время.
• На прошлой неделе компания Google выпустила обновление 96.0.4664.204 для канала долгосрочной поддержки ChromeOS с исправлениями трех уязвимостей с рейтингом «Высокий». Сегодня вышло обновление Chrome Stable 100.0.4896.88 для Windows, Mac и Linux, которое включает исправления безопасности.
• На прошлой неделе Mozilla выпустила обновления Firefox 99, Firefox ESR 91.8 и Thunderbird 91.8. Сегодня вышло обновление Firefox Browser 99.0.1.