Tijdens de patchdinsdag van oktober heeft Microsoft 85 kwetsbaarheden in de eigen producten verholpen, waaronder een actief aangevallen zerodaylek in Windows en een kritieke kwetsbaarheid waardoor Kubernetes-clusters zijn over te nemen. Updates voor twee zerodays in Exchange Server zijn niet verschenen. De patches zijn volgens Microsoft nog niet klaar.

Het zerodaylek dat Microsoft deze maand heeft gepatcht, aangeduid als CVE-2022-41033, bevindt zich in de Windows COM+ Event System Service. Een aanvaller die al toegang tot een systeem heeft kan via de kwetsbaarheid in deze Windows-service zijn rechten verhogen en zo het systeem volledig overnemen. Het beveiligingslek was door een anonieme beveiligingsonderzoeker aan Microsoft gerapporteerd. Verdere details over de aanvallen zijn niet door het techbedrijf gegeven.

Een andere kwetsbaarheid die deze maand de aandacht verdient bevindt zich in de cluster connect feature van Azure Arc-enabled Kubernetes clusters. Via dit beveiligingslek (CVE-2022-37968) kan een ongeauthenticeerde gebruiker zijn rechten verhogen en beheerderscontrole over de Kubernetes-cluster krijgen. Om op afstand misbruik van dit lek te maken moet een aanvaller wel het willekeurig gegenereerde dns-endpoint van een Azure Arc-enabled Kubernetes cluster weten. De impact van deze kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 10.

Grote afwezige in de patchronde zijn updates voor twee actief aangevallen zerodaylekken in Exchange Server. Microsoft waarschuwde eind vorige maand voor de aanvallen en kwam met tijdelijke mitigaties waarmee organisaties zich kunnen beschermen. Via de kwetsbaarheid kan een aanvaller die over de inloggegevens van een mailbox beschikt Exchange-servers op afstand overnemen. De updates om de kwetsbaarheden te verhelpen zijn echter nog niet klaar, aldus Microsoft. Wanneer ze wel zullen verschijnen is nog onbekend.