教育数字化知识图谱

0x00 漏洞概述

2022 年4月12日，微软发布了4月份的安全更新，本次发布的安全更新修复了包括2个0 day漏洞在内的119个安全漏洞（不包括 26个 Microsoft Edge 漏洞），其中有10个漏洞被评级为严重。

0x01 漏洞详情

本次发布的安全更新涉及.NET Framework、Active Directory Domain Services、Azure、Microsoft Office、DNS Server、Windows Hyper-V、Visual Studio、Windows Defender、Windows File Server、Windows Installer、Windows Kerberos、Windows Kernel、Windows PowerShell、Windows Network File System、Windows Remote Procedure Call Runtime、Windows SMB和Windows Win32K等多个产品和组件。

本次修复的119个漏洞中，47个为权限提升漏洞，47个为远程代码执行漏洞，13个为信息泄露漏洞，9个为拒绝服务漏洞，以及3个欺骗漏洞。

微软本次共修复了2个0 day漏洞，其中CVE-2022-24521正在被积极利用，CVE-2022-26904已经公开披露。

l CVE-2022-26904 ：Windows 用户配置文件服务权限提升漏洞

该漏洞是Windows User Profile Service中的本地权限提升漏洞，CVSS评分为7.0，所需权限低且无需用户交互，但攻击复杂度高（需要赢得竞争条件），目前此漏洞已经公开披露，微软的可利用性将其评估为可能被利用。

l CVE-2022-24521 ：Windows 通用日志文件系统驱动程序权限提升漏洞

该漏洞的攻击复杂度和所需权限低，无需用户交互即可被本地利用。微软表示已检测到针对此漏洞的漏洞利用。

本次修复的10个严重漏洞包括：

l CVE-2022-26919 ：Windows LDAP 远程代码执行漏洞

在域中通过身份验证的标准用户能够利用此漏洞在 LDAP 服务器上远程执行任意代码。但要利用此漏洞，需要修改默认的MaxReceiveBuffer LDAP设置。

l CVE-2022-23259 ：Microsoft Dynamics 365 (on-premises) 远程代码执行漏洞

经过身份验证的用户可以运行特制的受信任解决方案包来执行任意 SQL 命令。攻击者可以从那里升级并在其 Dynamics 356 数据库中以 db_owner 身份执行命令。

l CVE-2022-22008/CVE-2022-24537/CVE-2022-2325 ：Windows Hyper-V 远程执行代码漏洞

可以在 Hyper-V guest上运行特制的应用程序，这可能导致在 Hyper-V 主机系统执行任意代码。

l CVE-2022-24491/ CVE-2022-24497 ：Windows Network File System远程代码执行漏洞

攻击者可以将特制的 NFS 协议网络消息发送到易受攻击的 Windows 机器，从而实现远程代码执行。注意：此漏洞仅影响启用NFS角色的系统。

l CVE-2022-26809 ：Remote Procedure Call Runtime远程代码执行漏洞

此漏洞的CVSSv3评分为9.8。可以通过向RPC主机发送一个特制的RPC调用，这可能导致在服务器端以与RPC服务相同的权限远程执行代码。可以通过在企业外围防火墙中阻止TCP端口445和遵循 Microsoft 指南以保护SMB 流量来缓解此漏洞。

l CVE-2022-24541 ：Windows Server服务远程代码执行漏洞

此漏洞要求使用受影响的 Windows 版本的用户访问恶意服务器。可以通过在企业外围防火墙中阻止TCP端口445和遵循 Microsoft 指南以保护SMB 流量来缓解此漏洞。

l CVE-2022-24500 ：Windows SMB远程代码执行漏洞

此漏洞要求使用受影响的 Windows 版本的用户访问恶意服务器。可以通过在企业外围防火墙中阻止TCP端口445和遵循 Microsoft 指南以保护SMB 流量来缓解此漏洞。

0x02 处置建议

目前微软已发布相关安全更新，建议受影响的用户尽快修复。

（一） Windows update更新

自动更新：

Microsoft Update 默认启用，当系统检测到可用更新时，将会自动下载更新并在下一次启动时安装。

手动更新：

1 、点击“开始菜单”或按Windows快捷键，点击进入“设置”

2 、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，具体步骤为“控制面板”->“系统和安全”->“Windows更新”）

3 、选择“检查更新”，等待系统将自动检查并下载可用更新。

4 、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。

（二） 手动安装更新

Microsoft 官方下载相应补丁进行更新。

下载链接：

https://msrc.microsoft.com/update-guide/releaseNote/2022-Apr

补丁下载示例：

1. 打开上述下载链接，点击漏洞列表中要修复的CVE链接

例1：微软漏洞列表示例（2月）

2. 在微软公告页面底部左侧【产品】选择相应的系统类型，点击右侧【下载】处打开补丁下载链接。

例2：CVE-2022-21989补丁下载示例

3. 点击【安全更新】，打开补丁下载页面，下载相应补丁。

例3：补丁下载界面

4. 补丁下载完成后双击安装。

0x03 参考链接

https://msrc.microsoft.com/update-guide/releaseNote/2022-Apr

https://www.bleepingcomputer.com/news/microsoft/microsoft-april-2022-patch-tuesday-fixes-119-flaws-2-zero-days/

https://blog.qualys.com/vulnerabilities-threat-research/2022/04/12/april-2022-patch-tuesday

0x04 更新版本

0x05 附录

公司简介

启明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是国内极具实力的、拥有完全自主知识产权的网络安全产品、可信安全管理平台、安全服务与解决方案的综合提供商。

公司总部位于北京市中关村软件园，在全国各省、市、自治区设有分支机构，拥有覆盖全国的渠道体系和技术支持中心，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。

多年来，启明星辰致力于提供具有国际竞争力的自主创新的安全产品和最佳实践服务，帮助客户全面提升其IT基础设施的安全性和生产效能，为打造和提升国际化的民族信息安全产业领军品牌而不懈努力。

关于我们

启明星辰安全应急响应中心主要针对重要安全漏洞的预警、跟踪和分享全球最新的威胁情报和安全报告。

关注以下公众号，获取全球最新安全资讯：