

微软补丁日：修复了 97 个安全漏洞，腾讯安全专家建议用户尽快修复

腾讯安全威胁情报中心

2022-01-12

导读：微软补丁日，有一个漏洞CVSS评分9.8

长按二维码关注

腾讯安全威胁情报中心

微软1月12日发布2022年1月例行安全更新，修复 Windows 产品和组件 97 个安全漏洞（不包括 29 个 Microsoft Edge 漏洞），其中 9 个被归类为严重，88 个被归类为重要。

腾讯安全专家建议所有受影响用户尽快升级安装补丁，推荐采用Windows更新、腾讯电脑管家、腾讯零信任iOA的漏洞扫描修复功能安装。

具体漏洞性质分类如下：

41个提权漏洞
9个安全功能绕过漏洞
29个远程代码执行漏洞
6个信息披露漏洞
9个拒绝服务漏洞
3个欺骗漏洞

6个被公开披露过的0day漏洞被修复：

CVE-2021-22947 - 开源 Curl 远程代码执行漏洞
CVE-2021-36976 - Libarchive 远程代码执行漏洞
CVE-2022-21919 - Windows 用户配置文件服务特权提升漏洞
CVE-2022-21836 - Windows 证书欺骗漏洞
CVE-2022-21839 - Windows 事件跟踪任意访问控制列表拒绝服务漏洞
CVE-2022-21874 - Windows 安全中心 API 远程代码执行漏洞

本月安全更新涉及以下组件：

.NET Framework
Microsoft Dynamics
Microsoft Edge（基于 Chromium）
Microsoft Exchange Server
Microsoft Graphics Component
Microsoft Office
Microsoft Office Excel
Microsoft Office SharePoint
Microsoft Office Word
Microsoft Teams
Microsoft Windows 编解码器库
开放源代码软件
角色：Windows Hyper-V
Tablet Windows 用户界面
Windows 帐户控制
Windows Active Directory
Windows AppContracts API 服务器
Windows Application Model
Windows BackupKey 远程协议
Windows 绑定筛选器驱动程序
Windows 证书
Windows 清理管理器
Windows 剪贴板用户服务
Microsoft 集群端口驱动程序
Windows 通用日志文件系统驱动程序
Windows 连接设备平台服务
Windows 加密服务
Windows Defender
Windows 设备人机接口
Windows 诊断中心
Windows DirectX
Microsoft DWM 核心库
Windows 事件跟踪
Windows 地理位置服务
Windows HTTP 协议堆栈
Windows IKE 扩展
Windows 安装程序
Windows Kerberos
Windows Kernel
Windows Libarchive
Windows 本地安全认证
Windows 本地安全认证子系统服务
Windows Modern 执行服务器
Windows 推送通知
Windows RDP
Windows 远程访问连接管理器
Windows 远程桌面
Windows 远程过程调用运行时
Windows Resilient 文件系统 (ReFS)
Windows 安全启动
Windows 安全中心
Windows StateRepository API
Windows 存储
Windows 存储空间控制器
Windows 系统启动器
Windows 任务流数据引擎
Windows Tile 数据存储库
Windows UEFI
Windows UI Immersive Server
Windows 用户配置文件服务
Windows 用户模式驱动框架
Windows 虚拟机 IDE 驱动器
Windows Win32K
Windows 工作站服务远程协议

以下漏洞须重点关注

CVE-2021-22947：Open Source Curl 远程代码执行漏洞
此 CVE 是关于 Windows 使用的 curl 开源库中的一个漏洞。CVSS评分：5.9，风险等级：中等。

当 curl >= 7.20.0 和 <= 7.78.0 连接到 IMAP 或 POP3 服务器以使用 STARTTLS 检索数据以升级到 TLS 安全性时，服务器可以响应并一次发回多个响应 curl 缓存。curl 然后会升级到 TLS，但不会刷新缓存响应的队列，而是继续使用和信任它在 TLS 握手之前获得的响应，就好像它们已经过身份验证一样。

使用这个缺陷，它允许 Man-In-The-中间攻击者首先注入虚假响应，然后传递来自合法服务器的 TLS 流量，并欺骗 curl 将数据发送回用户，认为攻击者注入的数据来自受 TLS 保护的服务器。

参考链接：https://nvd.nist.gov/vuln/detail/CVE-2021-22947

CVE-2021-36976：Libarchive 远程代码执行漏洞
CVE-2021-36976 是关于 Windows 使用的 libarchive 开源库中的一个漏洞。

libarchive 3.4.1 到 3.5.1 在 copy_string 中有一个 use-after-free（从 do_uncompress_block 和 process_block 调用）。CVSS评分6.5，风险等级：中等。

参考链接：ttps://nvd.nist.gov/vuln/detail/CVE-2021-36976

CVE-2022-21882：Win32k 特权提升漏洞
本地的、经过身份验证的攻击者可以通过Win32k.sys驱动程序中的漏洞获得提升的本地系统或管理员权限。CVSS评分7.0，风险等级：高。

参考链接：
https://msrc.microsoft.com/update-guide/zh-cn/vulnerability/CVE-2022-21882

CVE-2022-21907：HTTP 协议堆栈远程执行代码漏洞
CVSS评分：9.8分，风险等级：高，该漏洞可能导致蠕虫化利用。

成功利用需要威胁参与者将恶意制作的数据包发送到目标 Windows 服务器，这些服务器使用易受攻击的HTTP协议栈来处理数据包。微软建议用户优先在所有受影响的服务器上修补此漏洞，因为它可能允许未经身份验证的攻击者在低复杂度攻击中远程执行任意代码，并且“在大多数情况下”，无需用户交互。

该漏洞影响最新的桌面和服务器Windows版本，包括Windows 11和Windows Server 2022。该漏洞目前并未受到积极利用，也没有公开披露的POC(概念验证代码）利用。

参考链接：
https://msrc.microsoft.com/update-guide/zh-cn/vulnerability/CVE-2022-21907

CVE-2022-21919：Windows User Profile Service 的特权提升漏洞
CVSS评分：7.0，风险等级：高。该漏洞为去年国外安全研究员公开的0day漏洞，今已修复。

参考链接：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-21919

更多信息，请参考微软2022年1月安全更新发行说明：
https://msrc.microsoft.com/update-guide/releaseNote/2022-Jan