微軟Patch Tuesday修補Exchange Server RCE等71項漏洞 駭客透過網路呼叫即可觸發攻擊

微軟本周釋出Patch Tuesday安全更新，修補Exchange Server重大RCE在內的71項漏洞。

修補的漏洞編號為CVE-2022-23277，能讓攻擊者透過一個網路呼叫，在伺服器帳號下觸發惡意程式碼。

雖然駭客需要驗證，但這項影響本地部署的Exchange伺服器的漏洞可能被用於橫向移動，而引發變臉攻擊(business email compromise, BEC)或是電子郵件造成的資料竊取。

這項漏洞影響Exchange Server 2013、2016和2019。安全廠商及微軟鼓勵Exchange Server用戶儘速修補環境。

Exchange Server的安全隱憂從去年以來即層出不窮。包括中國駭客Halfnium開採的ProxyLogon、ProxyShell等，Conti勒索軟體去年9月成功鎖定未修補的Exchange Server漏洞，而上個月還有勒索軟體Cuba摻一腳。

其他漏洞包括：CVE-2022-21990，為RDP (Remote Desktop Client)的遠端程式碼(RCE)執行漏洞，能讓已控制遠端桌面伺服器(Remote Desktop Server, RDS)連線的攻擊者在RDP用戶端機器上執行程式碼。雖然只被列為「重要」而非「重大」，但本漏洞已存在PoC，因此安全專家建議以優先修補。

CVE-2022-24508為Windows SMBv3 Client/Server上的RCE漏洞。本漏洞需要經驗證的攻擊者， Windows 10和Windows 10 Server都受影響。研究團隊ZDI也呼籲應儘速修補。

本周的Patch Tuesday一共修補了71項漏洞，包括Windows中的41項漏洞。其他修補的產品包括Visual Studio、Windows版Xbox App、Intune、Defender、Azure Site Recovery、Edge、Express Logic等。

來源：Silicon Valley、Darkreading