Perspectiva da Akamai sobre a Patch Tuesday de dezembro de 2022

Neste relatório, vamos nos concentrar em quatro áreas em que os bugs foram corrigidos:

• Windows PowerShell

• Subsistema de tempo de execução do Windows Client/Server 

• Microsoft Office

Para cada serviço afetado abordado neste relatório, tentamos oferecer recomendações de monitoramento e mitigação quando a aplicação de patches não é possível.  É claro que nenhuma mitigação é tão boa quanto a aplicação de patches, portanto, corrija seus sistemas sempre que possível e os mantenha atualizados.

Windows PowerShell

O Windows PowerShell é uma ferramenta útil para administração e gerenciamento de sistemas, bem como para automação. Ele está disponível por padrão na maioria das versões do Windows. Neste mês, houve uma aplicação de patch referente a um CVE crítico, CVE-2022-41076. Ele obteve uma pontuação CVSS de 8,5. Este CVE é, na verdade, para o PowerShell Remote. O PowerShell é compatível com comandos remotos pelo protocolo WinRM. Ele não é ativado por padrão. Os servidores precisam ativar o PSRemoting antes que esse acesso ou comunicação seja feito. Uma exploração bem-sucedida do CVE permite que um invasor autenticado contorne a configuração da sessão PSRemote e execute comandos não aprovados.

Escopo

Como a comunicação do PowerShell Remote é transmitida pelo WinRM, podemos avaliar o escopo de uso procurando conexões WinRM. Em nossos ambientes monitorados, 77% tinham pelo menos uma máquina com o WinRM ativado, e nessas redes, uma média de 27% das máquinas monitoradas aceitavam conexões WinRM. Tínhamos algumas redes sem WinRM e algumas com mais de 95% das máquinas com WinRM ativado.

Recomendações gerais

A primeira e mais importante recomendação é sempre aplicar patches a todos os sistemas. Caso não seja possível aplicar patches imediatamente, podemos confiar em alguns aspectos do PowerShell Remote para mitigação de alguns riscos:

• O PowerShell Remote e o WinRM não são ativados por padrão. Dessa forma, estão em risco somente as máquinas em que eles estão ativados. É possível descobrir se o WinRM está ativado conferindo se o serviço WinRM está em execução ou usando o comando PowerShell Test-WSMan. Além disso, se você tiver visibilidade de rede, poderá procurar comunicação pelas portas TCP 5985 e 5986, as portas padrão do WinRM.

• Em máquinas com o WinRM ativado, é possível usar a microssegmentação para limitar o acesso apenas a fontes necessárias (por exemplo, somente equipes ou serviços de TI). Isso pode ser feito nas portas TCP 5985 e 5986, as portas padrão do WinRM. Para determinar quem ou o que deve ter acesso, recomendamos o uso de uma ferramenta de visibilidade de rede ou um detector de rede para observar os padrões de comunicação existentes.

• Se você encontrar máquinas com o WinRM ativado que não estejam recebendo nenhuma conexão, ou considerar que o WinRm não precisa ser ativado, poderá desativá-lo.

Ao usar visibilidade, segmentação e desativação do uso desnecessário do serviço, você pode reduzir bastante o impacto do CVE, até encontrar tempo para aplicar patches no sistema.

Subsistema de tempo de execução do Windows Client/Server 

O CSRSS (Windows Client/Server Run-Time Subsystem, subsistema de tempo de execução do Windows Client/Server) é um processo do sistema responsável por uma variedade de funções em um computador Windows. Isso inclui a criação e a exclusão de processos e threads e o suporte para aplicações de console.

O processo csrss.exe é tão essencial que ele inicia em todas as máquinas Windows à medida que o sistema é inicializado e não pode ser encerrado. O encerramento desse processo causaria a temida tela azul da morte (falha do sistema).

Neste mês, um CVE de elevação de privilégios foi corrigido por patch no CSRSS, CVE-2022-44673, com uma pontuação CVSS de 7 e marcado como importante. De acordo com o relatório da Microsoft, um invasor que explora com sucesso essa vulnerabilidade pode obter privilégios SYSTEM. 

Embora a complexidade do ataque seja marcada como "alta", a Microsoft também menciona no relatório que "há bastante probabilidade de exploração", e como o CSRSS é executado em todas as máquinas Windows,a aplicação de patches é altamente recomendável.