2022年12月补丁周二：从Microsoft获取最新安全更新

科技巨头微软发布了2022年最后一套月度安全更新，修复了其软件产品中的49个漏洞。

在49个错误中，有6个被评为严重，40个被评定为重要，3个被评级为中等严重。自本月初以来，基于Chromium的Edge浏览器已解决了24个漏洞，这些更新是对这些漏洞的补充。

12月的补丁星期二修补了两个零日漏洞，一个被积极利用，另一个在发布时被公开披露。

前者与CVE-2022-44698（CVSS评分：5.4）有关，这是Windows SmartScreen中的三个安全绕过问题之一，恶意行为者可能会利用这些问题逃避网络标记（MotW）保护。

值得注意的是，这一问题与CVE-2022-41091（CVSS评分：5.4）一起被观察到被Magniber勒索软件参与者利用，在ZIP档案中传递恶意JavaScript文件。

Rapid7的Greg Wiseman说：“它允许攻击者制作不会被标记为微软‘网络标记’的文档，尽管这些文档是从不受信任的网站下载的”。这意味着Microsoft Office文档没有受保护的视图，这使得用户更容易执行粗略的操作，如执行恶意宏。

CVE-2022-44710（CVSS评分：7.8）已公开披露，但未被发现被积极利用，这是DirectX图形内核中的一个特权提升缺陷，可使对手获得SYSTEM特权。

“成功利用此漏洞需要攻击者赢得竞争条件，”微软在一份咨询中指出。

Microsoft还修补了Microsoft Dynamics NAV、Microsoft SharePoint Server、PowerShell、Windows安全套接字隧道协议（SSTP）、.NET Framework、联系人和终端中的多个远程代码执行错误。

此外，该更新还解决了Microsoft Office Graphics、OneNote和Visio中的11个远程代码执行漏洞，这些漏洞在CVSS评分系统中的评分均为7.8。

本月补救的19项特权提升缺陷中有两项包括对Windows Print Spooler组件的修复（CVE-2022-44678和CVE-2022-4 4681，CVSS评分：7.8），延续了该公司在过去一年发布的一系列补丁。

最后但并非最不重要的是，Microsoft已为PowerShell远程代码执行漏洞（CVE-2022-41076，CVSS评分：8.5）和Windows Sysmon权限升级漏洞（CVE-02022-44704，CVSS得分：7.8）分配了“Exploration More Likely”标记，因此用户必须应用更新以减轻潜在威胁。

其他供应商提供的软件修补程序

除Microsoft外，其他供应商在过去两周也发布了安全更新，以纠正几个漏洞，包括；

• 土砖
• 安卓
• 苹果
• 思科
• 思杰公司
• CODESYS公司
• 戴尔
• 第5页
• 飞塔
• GitLab公司
• 谷歌浏览器
• 惠普
• 国际商用机器公司
• 英特尔
• 联想
• Linux发行版Debian、Oracle Linux、Red Hat、SUSE和Ubuntu
• 联发科技
• Mozilla Firefox、Firefox ESR和Thunderbird
• NVIDIA公司
• 高通公司
• 活力
• 施耐德电气
• 西门子
• 骚护士
• Trend Micro和
• VMware公司