Akamai 对 2024 年 4 月 Patch Tuesday 的看法
开斋节快乐！复活节快乐！逾越节快乐！4 月是传统假期之月，如果 CVE 是礼物，那可以说 Microsoft 充满了节日气氛。2024 年 4 月 Patch Tuesday 共有 147 个 CVE，而其中有 3 个是 Microsoft Defender for IoT中的严重漏洞。此外，还有一个 系统 CVE：这是用于签署恶意攻击负载的 Microsoft 证书。
在本博文中，我们将评估漏洞的严重程度、受影响的应用程序和服务的普遍程度，并就已修复的漏洞为您提供现实的看法。请在每次 Patch Tuesday 后的几日留意这些见解。
这是一份持续更新的报告，随着我们的研究进展，我们将在其中增补更多信息。敬请期待！
在本月中，我们将重点关注已修复漏洞的以下方面
代理驱动程序
Sophos X-Ops 检测到 一项使用 Microsoft Windows Hardware Compatibility Publisher 签名进行签署的恶意攻击负载，它试图伪装成合法负载。他们向 Microsoft 报告了自己的发现，而 CVE-2024-26234 则撤销了所涉及的证书，使其不再被视为可信。
通过使用 Insight，可以找到使用受影响签名进行签署的负载。受影响的客户可以运行以下查询，查看是否有任何正在运行的进程使用了已撤销的证书进行签署：
SELECT issuer_name, path
FROM authenticode
WHERE
path IN (SELECT DISTINCT path FROM processes)
AND
serial_number = '3300000057ee4d659a923e7c10000000000057'
AND
subject_name = 'Microsoft Windows Hardware Compatibility Publisher'
Microsoft Defender for IoT
Microsoft Defender for IoT 是一个安全平台，可帮助保护工业网络组件，例如物联网 (IoT) 设备、工业控制系统和操作技术。本月修复了 3 个严重的远程代码执行 (RCE) 漏洞和 3 个重要的权限提升 (EoP) 漏洞。
这些漏洞本身会影响 Defender for IoT 堆栈的不同组件。 CVE-2024-21322 是通过门户 Web 应用程序加以利用的 RCE 漏洞，而 CVE-2024-21323 则是通过传感器更新包加以利用的 RCE 漏洞。无论涉及的是哪个组件，所有漏洞都可以通过网络加以利用，因此可以使用 网络分段来检测或抵御部分风险。
CVE 编号 |
影响 |
|---|---|
远程代码执行 |
|
权限提升 |
|
Windows 路由和远程访问服务 (RRAS)
路由和远程访问服务 (RRAS) 是一项 Windows 服务，它让操作系统能够充当路由器，从而通过 VPN 或拨号建立站点到站点的连接。本月，在此服务中发现三个严重漏洞，它们的 CVSS 评分都高达 8.8。修补说明中并未透露太多信息，只表示这些 RCE 漏洞是在毫无戒心的客户端上由恶意服务器所触发。因此， 可以通过 Zero Trust 和分段来抵御这些漏洞所带来的部分风险。
并非所有 Windows 服务器都提供了 RRAS，该服务随远程访问角色提供，并且必须专门安装。我们观察发现，大约 12% 的受监控环境中已安装具有远程访问角色的 Windows 服务器。
除了 RRAS 之外，本月的修补对象还包含 远程访问连接管理器中的多个 CVE 漏洞。这两项服务具有相关性，因为连接管理器用于组织 RRAS（以及其他服务）的连接配置文件。
CVE 编号 |
组件 |
影响 |
|---|---|---|
RRAS |
远程代码执行 |
|
连接管理器 |
权限提升 |
|
信息泄漏 |
||
Windows 身份验证
Windows 身份验证是一个广义的术语，因为 Windows 支持多种身份验证方法、协议和提供程序。Windows 身份验证中的两个 CVE 针对的是两个完全不同的组件。
CVE-2024-21447 是用户管理器服务中的一个 EoP 漏洞，可能是由于目录限制不当所造成。它绕过了 CVE-2023-36047，因为显然该漏洞已得到部分修复。
CVE-2024-29056则似乎是 Kerberos PAC 验证实施中存在的一个问题（根据常见问题部分和相关 知识库文章所述）。此外，还可能与其他 Kerberos CVE 有关。
CVE 编号 |
组件 |
影响 |
|---|---|---|
用户管理器 |
权限提升 |
|
Kerberos PAC 验证 |
||
Windows Kerberos |
拒绝服务 |
以前涵盖的服务
在本月的 Patch Tuesday 中，许多 CVE 针对的是我们过去已经介绍过的系统。如果您对我们就这些服务的分析或常规建议感兴趣，建议您了解我们之前发布的 对 Patch Tuesday 的看法 博文。
服务 |
CVE 编号 |
影响 |
所需访问权限 |
|---|---|---|---|
信息泄漏 |
本地 |
||
远程代码执行 |
本地，需要用户交互 |
||
网络 |
|||
安全功能绕过 |
网络，需要用户交互 |
这篇综述概括了我们目前的理解和我们根据现有信息提出的建议。我们的审查还在持续进行中，本文的任何信息都可能发生更改。您还可以关注我们的 微信公众号，了解更多实时动态。