[JustisCERT-varsel] [#072-2021] [TLP:CLEAR] Microsoft og Adobe-sårbarheter for oktober 2021

Microsoft har publisert 71 nye sikkerhetsoppdateringer for oktober 2021 hvor 2 er vurdert som kritisk og 68 som alvorlig. Flere av sårbarhetene kan utnyttes til fjernkjøring av kode og til å ta kontroll over brukere og systemer. Microsoft opplyser at sårbarheten i Win32k kernel driveren (CVE-2021-40449) er observert aktivt utnyttet [1].

De 3 kritiske sårbarhetene er:

• CVE-2021-40486 i Microsoft Word (CVSS-score 7.8)
• CVE-2021-38672 i Windows Hyper-V (CVSS-score 8.0)
• CVE-2021-40461 i Windows Hyper-V (CVSS-score 8.0)

Adobe har publisert 6 sikkerhetsoppdateringer som dekker 10 CVEer. Adobe Acrobat og Reader er berørt av 4 sårbarheter (CVSS-score til og med 7.8). Flere av sårbarhetene gjør det mulig for angriper å kjøre vilkårlig kode.

Se Microsoft [2] og Adobe [3] sine nettsider for flere detaljer om sårbarhetene.

Berørte produkter er blant annet:

• Microsoft Windows (klient og server)
• Microsoft Office
• Microsoft Edge Chromium
• Microsoft .NET Core
• Microsoft Intune Management Extension
• Microsoft Dynamics 365 (on-prem)
• Microsoft Exchange
• Microsoft SharePoint Server
• Microsoft Visual Studio (OpenSSL)
• Microsoft SCOM
• Microsoft Storage Spaces Controller (Driver)
• Microsoft Hyper-V
• Windows DNS Server
• Windows MSHTML
• Windows Print Spooler
• Windows TCP/IP
   
• Adobe Acrobat og Adobe Reader
• Adobe Acrobat Reader for Android
• Adobe Campaign Standard
• Adobe Commerce
• Adobe Ops-CLI
• Adobe Connect

Anbefalinger:

• Patch/oppdater berørte produkter
• Avinstaller programvare som ikke benyttes
• Fas ut software/hardware som ikke kan oppdateres og avhend utstyret på en sikker måte slik at data ikke kan leses av uønskede
• Prioriter systemer som kan nås fra internett
• Deaktiver muligheten for å kjøre makroer i alle Office-installasjoner (tillat eventuelt kun makroer som er signert av virksomheten selv)
• Deaktiver muligheten for å kjøre ActiveX i alle Office-installasjoner
• Herde Office-installasjoner i henhold til anbefalinger fra f.eks. Australian Cyber Security Center [4]

Kilder:
[1] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-40449
[2] https://msrc.microsoft.com/update-guide
[3] https://helpx.adobe.com/security.html/security/security-bulletin.ug.html
[4] https://www.cyber.gov.au/resources-business-and-government/maintaining-devices-and-systems/system-hardening-and-administration/system-hardening/hardening-microsoft-365-office-2021-office-2019-and-office-2016