Akamai 对 2023 年 2 月 Patch Tuesday 的看法

CVE-2023-21823

我们将首先介绍 Windows 图形组件中的远程代码执行 (RCE) 漏洞。虽然该漏洞用于远程利用，但 攻击媒介 以本地的形式列出。这可能意味着，这更像是一个任意代码执行 (ACE) 漏洞，需要用户与下载的文件交互。

奇怪的是，这个 CVE 还会影响到 Microsoft Office，包括 iOS 和 Android 版本。因此，该更新不仅通过 Windows Update 进行管理，还通过 Microsoft Store、Google Play 和 App Store 进行管理。如果您在任何一个商店中禁用了自动更新，请记得在您的设备上启动更新。

CVE-2023-21715

这是 Microsoft Publisher 中的一个安全绕过漏洞。具体而言，它涉及到“Web 标记”(MOTW)。通常情况下，从互联网下载的文件都有内部标记，操作系统或程序据以判断不应信任也不应自动执行这些文件（或其中的宏）。具体来说，Microsoft Publisher 过去不处理 MOTW，并允许执行从 Web 下载的文件中的宏。这一点已经通过修补此 CVE 而得到修复。安全研究人员 Haifei Li 在 Twitter上写了一份更详细的分析报告。

CVE-2023-23376

这是 Windows 通用日志文件系统驱动程序中的一个权限提升漏洞，允许攻击者获得 SYSTEM 权限。目前无法获得更多详细信息。

iSCSI 是一个用于连接 SCSI 存储设备的协议。在 Windows 中，机器具有 iSCSI 发起程序 进程和 Microsoft iSCSI 发起程序 服务。两者都不是默认运行的，都需要手动运行和配置。 根据我们的观察，只有 3% 的网络包含运行 Windows iSCSI 的机器。

本月，有一个严重 RCE 和三个 DoS CVE。虽然没有明确提及，但我们认为 CVE 指的是 Microsoft iSCSI 发起程序服务。此外，据说该 RCE 只在 32 位机器上有效。

问： 我的机器正忙着发送印有可爱动物的情人节电子卡片，所以不能给它们打补丁，也不能重新启动。在此期间，我可以通过其他某种方式保护它们吗？

幸运的是，iSCSI 服务默认不运行。因此，应该可以确定正在运行它的机器，并为这些机器创建分段策略。iSCSI 服务不应有那么多的传入连接，因此，使用微分段来限制从机器外部对服务的访问。这应该可以为您赢得一些时间，等到机器空闲时再安装补丁。

要确定带有 iSCSI 的机器，您可以搜索使用 TCP 端口 860 和 3260（默认的 iSCSI 端口）的连接。您也可以查找 Microsoft iSCSI 发起程序服务本身。

以下是对它进行的 osquery 查询：

本月，在 Microsoft SQL 服务器中共发现了三个 RCE CVE。其中两个（基础 CVSS 评分为 8.8）针对的是可选功能 — SQL 数据质量服务 (DQS)。第三个 CVE 的 CVSS 评分为 7.8。根据我们的观察， 60% 的网络有 MSSQL 服务器，40% 的网络也安装了 DQS。

由于 SQL 服务器通常保存有敏感信息；因此应该对其进行分段，并实施访问控制限制，以防止数据盗窃事件。如果您没有这样的策略，这不失为理想的添加机会。确定您现有的 MSSQL 服务器（通过查找 MSSQL 服务，或通过查找使用 1433、1434 端口的连接）。确定现有服务器后，根据现有的流量和其他应该拥有访问权的分段（比如，IT 部门对全部数据库的访问权，或财务部门对财务数据库的访问权，等等）创建分段策略。这也是一个很好的机会，可以看到谁在恶意地访问他们不应该接触的数据库。

本月在 OLE 和 ODBC 中还有七个与 SQL 有关的 CVE。我们在以前的通告中已经介绍过这些漏洞，我们的建议没有改变（而且 CVE 似乎也类似）。有关它们的更多信息，请参见 以前涵盖的服务。

在 Microsoft Word 中有一个严重 RCE CVE（CVSS 得分 9.8），涉及 RTF 文件。（谁不喜欢情人节的红色玫瑰呢？）

对于这个漏洞，在 Word 中打开特别制作的 RTF 文件时，该文件可触发命令执行。这也影响到预览窗格和 SharePoint。幸运的是，Microsoft 提供了两种可行的抵御措施：

• MS08-026 — 阻止 Word 打开 RTF 文件。

• KB922849 — 提供关于“阻止从特定文件夹打开文件”的信息。

以前涵盖的服务