Il punto di vista di Akamai sulla Patch Tuesday di dicembre 2022

In questo rapporto, ci concentreremo sulle aree in cui i bug sono stati corretti:

• Windows PowerShell

• Sottosistema di runtime client/server Windows 

• Microsoft Office

Per ogni servizio interessato che tratteremo in questo rapporto, cercheremo di fornire consigli riguardo il monitoraggio e la mitigazione laddove non sia possibile applicare le patch.  Naturalmente, nessuna mitigazione è efficace quanto l'applicazione di patch, quindi applicate le patch ai vostri sistemi per quanto possibile per mantenerli sempre aggiornati.

Windows PowerShell

Windows PowerShell è uno strumento utile per l'amministrazione e la gestione del sistema, nonché per l'automazione. È disponibile per impostazione predefinita con la maggior parte delle versioni di Windows. Questo mese è stata corretta la vulnerabilità critica CVE-2022-41076, che ha ricevuto un punteggio CVSS di 8,5. Questa vulnerabilità CVE, in realtà, si riferisce a PowerShell Remote. PowerShell supporta i comandi remoti tramite il protocollo WinRM, ma non è abilitato per impostazione predefinita. I server devono abilitare PSRemoting prima di poter effettuare tale accesso o comunicazione. Uno sfruttamento riuscito della vulnerabilità CVE consente a un autore di attacchi autenticato di eludere la configurazione della sessione PSRemote ed eseguire comandi non approvati.

Ambito

Poiché la comunicazione remota di PowerShell viene trasferita su WinRM, è possibile valutare l'ambito del suo utilizzo cercando le connessioni WinRM. Nei nostri ambienti monitorati, il 77% degli ambienti monitorati includeva almeno un computer con WinRM abilitatoe, in quelle reti, in media il 27% dei computer accettava connessioni WinRM. Erano presenti alcune reti senza WinRM e alcune con oltre il 95% di computer con WinRM abilitato.

Consigli generali

La prima e più importante raccomandazione è sempre quella di applicare le patch a tutti i sistemi. Nel caso in cui non sia possibile applicare immediatamente le patch, possiamo fare affidamento su alcuni aspetti di PowerShell Remote per mitigare alcuni dei rischi:

• PowerShell Remote e WinRM non sono abilitati per impostazione predefinita. Pertanto, solo i computer su cui sono abilitati sono a rischio. È possibile verificare se WinRM è abilitato controllando se il servizio WinRM è in esecuzione o tramite il comando PowerShell Test-WSMan. Inoltre, se si dispone della visibilità della rete, è possibile cercare la comunicazione sulle porte TCP 5985 e 5986, le porte WinRM predefinite.

• Per i computer con WinRM abilitato, è possibile utilizzare la microsegmentazione per limitare l'accesso solo alle origini necessarie (ad esempio, solo personale o servizi IT). Ad esempio tramite le porte TCP 5985 e 5986, le porte WinRM predefinite Per determinare a chi o cosa si deve consentire l'accesso, si consiglia di utilizzare uno strumento di visibilità della rete o uno sniffer di rete per visualizzare i modelli di comunicazione esistenti.

• Se individuate computer con WinRM abilitato che non stabiliscono alcuna connessione o ritenete che WinRm non debba essere abilitato, potete disabilitarlo.

Utilizzando la visibilità, la segmentazione e disabilitando l'utilizzo non necessario del servizio, è possibile ridurre notevolmente l'impatto della vulnerabilità CVE finché non si trova il tempo di applicare le patch al sistema.

Sottosistema di runtime client/server Windows 

Il sottosistema di runtime client/server Windows (CSRSS, Client/Server Run-Time Subsystem) è un processo di sistema responsabile di una varietà di funzioni su un computer Windows. Queste includono la creazione e l'eliminazione di processi e thread e la fornitura di supporto per le applicazioni della console.

Il processo csrss.exe è così essenziale che viene avviato su ogni computer Windows all'avvio del sistema e non può essere terminato. L'interruzione di questo processo provocherebbe il temuto "Blue Screen of Death" (arresto del sistema).

Questo mese, una vulnerabilità CVE di elevazione dei privilegi è stata corretta in CSRSS e si tratta della vulnerabilità CVE-2022-44673, con un punteggio CVSS di 7, che è stata classificata come importante. Secondo il rapporto di Microsoft, un malintenzionato che sfrutta con successo questa vulnerabilità riesce ad ottenere i privilegi di sistema. 

Sebbene la complessità dell'attacco sia considerata elevata, Microsoft menziona anche nel rapporto che lo sfruttamento è più probabile, pertanto, poiché CSRSS viene eseguito su tutti i computer Windows, consigliamo vivamente di applicare le patch.