Patch Tuesday de junho: Microsoft corrige vulnerabilidade Follina, mas não DogWalk

Este mês, com a atualização do Patch Tuesday para Windows 7, 8.1, 10 e 11, a Microsoft lançou uma série de melhorias e correções de segurança para seus sistemas operacionais. Falando deste último, temos boas e más notícias.

Vamos começar com as boas notícias: a Microsoft corrigiu muitos problemas de segurança, incluindo o Follina. A má notícia é que suas atualizações não parecem cobrir todos os dias zero reivindicados, pois o DogWalk não foi corrigido.

Os detalhes do Follina surgiram no mês passado, quando foi revelado que o manuseio instável de protocolos de URL da Microsoft Support Diagnostic Tool (MSDT) significava que um aplicativo de chamada como o Microsoft Word poderia chamá-lo para iniciar o Remote Code Execution (RCE), possivelmente com direitos de administrador .

Esse problema afetou quase todas as versões do Windows, então a Microsoft deu um nível de gravidade “Alto” e recomendou algumas etapas para corrigi-lo. No entanto, as atualizações de terça-feira de junho lançadas ontem oferecem uma correção mais permanente para esse problema. Em seu respectivo relatório de rastreamento CVE-2022-30190 , a Microsoft observou que:

A atualização para esta vulnerabilidade está na atualização cumulativa do Windows de junho de 2022. A Microsoft recomenda enfaticamente que os clientes instalem atualizações para se proteger totalmente contra a vulnerabilidade. Os clientes cujos sistemas estão configurados para receber atualizações automáticas não precisam realizar nenhuma ação adicional.

Enquanto isso, DogWalk é outra vulnerabilidade de dia zero que foi amplamente divulgada na semana passada. Basicamente, ele explora uma vulnerabilidade de passagem de caminho que coloca a carga na pasta de inicialização do Windows. Isso significa que o malware é lançado na próxima vez que o usuário fizer login em seu sistema. O arquivo diagcab baixado é marcado como Internet (MOTW), mas o MSDT ignora o aviso e o executa mesmo assim, deixando os usuários vulneráveis ​​a essa possível vulnerabilidade.

Enquanto algumas empresas de segurança de terceiros lançaram micropatches para o DogWalk, a Microsoft minimizou o problema e diz que não requer “serviço imediato”. Ele também não foi premiado com um CVE.

E se você está se perguntando se a atualização mais recente de terça-feira resolverá o problema, você está errado. De acordo com pesquisadores de segurança no Twitter, DogWalk ainda está aberto para uso:

Resta saber se a Microsoft eventualmente corrigirá o problema em um futuro próximo, mas com base nas atualizações mais recentes sobre o assunto, as chances não parecem boas. Iremos informá-lo se a situação mudar no futuro.