شرکت مایکروسافت در روز سه‌شنبه ۲۵ آبان ماه، در مجموع ۵۵ آسیب‌پذیری را در ۱۲ دسته، از طریق بروزرسانی امنیتی برطرف کرد. در بین این آسیب‌پذیری‌ها، شش مورد از درجه اهمیت critical یا حیاتی برخوردار هستند و مابقی مهم (important) تلقی شده‌اند. این آسیب‌پذیری‌ها در پنج دسته قرار می‌گیرند:
- افزایش سطح دسترسی (Privilege Escalation)
- منع سرویس (Denial Of Service)
- Spoofing
- افشای اطلاعات (Information Disclosure)
- دور زدن راهکارهای امنیتی (Security Feature Bypass)
- اجرای کد از راه دور (Remote Code Execution)
بنابر اعلام مایکروسافت، ۶ مورد از آسیب‌پذیری‌های اعلام شده، آسیب‌پذیری Zero-Day بوده است که دو عدد از این آسیب‌پذیری‌ها به صورت پیوسته و فعالانه توسط مهاجمین مورد استفاده قرار گرفته‌اند و توصیه اکید می‌گردد هرچه سریعتر برای بروزرسانی سیستم‌ها اقدام شود. این دو آسیب‌پذیری عبارتند از:
آسیب‌پذیری CVE-2021-42292 از درجه مهم و از نوع Security Feature Bypass بوده، امتیاز CVSS : 7.8 را به خود اختصاص داده و در نرم‌افزارهای Microsoft Excel نسخه‌های ۲۰۱۳ تا ۲۰۲۱ وجود دارد.
آسیب‌پذیری CVE-2021-42321 از درجه بحرانی و از نوع اجرای کد از راه دور (Remote Code Execution) بوده، امتیاز CVSS : 8.8 را به خود اختصاص داده و در Microsoft Exchange وجود دارد. شرکت مایکروسافت قبل از ارائه بروزرسانی برای برطرف کردن این آسیب‌پذیری در ماه سپتامبر، ویژگی جدیدی به نام EM (Exchange Mitigation) را به سرورهای Exchange اضافه کرد. این راهکار موقتی بوده و به همین دلیل مایکروسافت در به‌روزرسانی این ماه این آسیب‌پذیری Zero-Day را وصله کرد. در نتیجه به تمامی نیروهای مربوطه توصیه اکید می‌گردد به هیچ وجه به تنها به فعال کردن ویژگی EM بر روی سرورهای Exchange اکتفا نکرده و هر چه سریعتر به‌روزرسانی‌های ارائه شده نصب شود.
در ادامه لیستی جامع از آسیب‌پذیری‌ها به همراه وصله‌های امنیتی ارائه می‌گردد:
- Microsoft SharePoint Enterprise Server 2013 Service Pack 1 (SP1) Remote Code Execution (RCE) Vulnerability – November 2021
Severity: Critical
Patches:
https://msrc.microsoft.com/update-guide/en-us
- Microsoft Office and Microsoft Office Services and Web Apps Security Update – November 2021
Severity: Critical
Patches:
https://msrc.microsoft.com/update-guide/en-us
- Microsoft Exchange Server Remote Code Execution (RCE) Vulnerability – November 2021
Severity: Critical
Patches:
https://support.microsoft.com/help/5007409
- Microsoft Dynamics 365 Security Update – November 2021
Severity: Serious
Patches:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42316
- Microsoft Visual Studio Code Elevation of Privilege Vulnerability – November 2021
Severity: Critical
Patches:
https://support.microsoft.com/help/5007409
- Microsoft Visual Studio Code Security Update – November 2021
Severity: Critical
Patches:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-3711
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42277
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42319
https://aka.ms/vs/14/release/5007275
- Microsoft Windows Security Update – November 2021
Severity: Critical
Patches:
- Microsoft Active Directory Domain Services (AD DS) Elevation of Privilege Vulnerability – November 2021
Severity: Critical
Patches:
- Microsoft Windows Defender Remote Code Execution (RCE) Vulnerability – November 2021
Severity: Critical
Patches:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-42298
منابع:
https://msrc.microsoft.com/update-guide/en-us
https://msrc.microsoft.com/update-guide/releaseNote/2021-Nov