Akamai 对 2022 年 12 月 Patch Tuesday 的看法

在本报告中，我们将重点关注已修复漏洞的以下方面：

• Windows PowerShell

• Windows 客户端/服务器运行时子系统 

• Microsoft Office

对于我们在本报告中介绍的各项受影响的服务，我们会提供在无法进行修补时的监控和抵御建议。  当然，没有什么抵御措施比应用修补程序更好，因此请确保尽可能及时修补系统，使其保持最新状态。

Windows PowerShell

Windows PowerShell 是一种用于系统管理和自动化的实用工具。大多数版本的 Windows 中均默认提供此工具。本月修补了一个严重 CVE： CVE-2022-41076。它的 CVSS 评分为 8.5。此 CVE 实际上针对的是 PowerShell Remote。PowerShell 支持基于 WinRM 协议的远程命令。 它在默认情况下不会启用。服务器必须 启用 PSRemoting 才能进行这种访问或通信。一旦攻击者成功利用该 CVE， 在通过身份验证后， 攻击者即可规避 PSRemote 会话配置，并运行未经批准的命令。

范围

PowerShell Remote 通信是基于 WinRM 协议进行的，因此为了评估其使用范围，我们可以寻找 WinRM 连接。在我们监测的环境中， 77% 的受监测环境至少有一台机器启用了 WinRM，而在这些网络中，平均有 27% 的受监测机器接受 WinRM 连接。我们观察到有一些网络完全未启用 WinRM，还有一些网络中超过 95% 的机器启用了 WinRM。

常规建议

最重要的建议始终是给所有系统打补丁。如果您无法立即打补丁，我们可以依靠 PowerShell Remote 的某些特性来减轻一些风险：

• PowerShell Remote 和 WinRM 默认不会启用。因此，只有启用了它们的机器才会面临风险。您可以通过观察 WinRM 服务是否正在运行，或者使用 PowerShell 命令 Test-WSMan来确定系统是否启用了 WinRM。此外，如果您有网络监测能力，您可以留意 TCP 端口 5985 和 5986 上的通信，这两个是默认的 WinRM 端口。

• 对于启用了 WinRM 的机器，您可以使用微分段，仅为必要的来源提供访问权限（例如，仅限 IT 人员或服务）。这可以通过 TCP 端口 5985 和 5986（默认的 WinRM 端口）实现。为了确定应该允许谁或什么进行访问，我们建议使用网络监测工具或网络嗅探器来查看现有的通信模式。

• 如果您发现启用了 WinRM 的机器没有获得任何连接，或者您认定不需要启用 WinRm，则可以将其禁用。

在您抽出时间修补系统之前，通过使用监测、分段以及禁用对该服务的不必要使用，您就可以大大减少该 CVE 的影响。

Windows 客户端/服务器运行时子系统 

Windows 客户端/服务器运行时子系统 (CSRSS) 是一个系统进程，负责 Windows 计算机上的各种功能。这些功能包括创建和删除进程及线程，以及为控制台应用程序提供支持。

csrss.exe 进程非常重要，因此在每台 Windows 机器上，系统启动时都会启动该进程，而且不能终止此进程。一旦终止此进程，就会导致严重的蓝屏死机（系统崩溃）。

本月，一个 权限提升 CVE 在 CSRSS 中得到修补，即 CVE-2022-44673，其 CVSS 评分为 7，被标记为“重要”。根据 Microsoft 的报告，成功利用此漏洞的攻击者 可以获得 SYSTEM 权限。 

尽管攻击的复杂性被标记为“高”，但 Microsoft 在其报告中也提到“漏洞被利用的可能性更大”，并且由于 每台 Windows 机器都会运行 CSRSS，我们强烈建议打补丁。