CVE-2022-21882

Суть уязвимости

Уязвимость в драйвере ядра win32k.sys позволяет локальному пользователю с низкими привилегиями выполнить произвольный код в режиме ядра. Это достигается за счет неправильной обработки определенных системных вызовов (системных вызовов GDI), что приводит к повреждению памяти (use-after-free или аналогичная ошибка). В результате злоумышленник может повысить свои привилегии до уровня SYSTEM и получить полный контроль над системой.

Как исправить

Установите официальное обновление безопасности от Microsoft, устраняющее данную уязвимость.

Для Windows 10 (включая сборки 21H2, 21H1, 20H2) и Windows 11: * Установите накопительное обновление от 11 января 2022 года. * Номер обновления (KB): KB5009566 * Альтернативный способ (через PowerShell от имени администратора): powershell # Проверьте наличие и установите обновление Get-WindowsUpdate -KBArticleID "KB5009566" -Install После установки обязательно перезагрузите систему.

Для более старых версий Windows (например, Windows 7, 8.1, Server 2012 R2): Обновления для этих систем также были выпущены в рамках январского цикла патчей 2022 года. Найдите соответствующее обновление по коду CVE в Каталоге обновлений Microsoft.

Временное решение

Если немедленная установка патча невозможна, примените следующие меры для снижения риска:

1. Ограничение локального доступа:

   • Минимизируйте количество пользователей с правами локального входа на уязвимые системы, особенно на серверы.
   • Используйте принцип наименьших привилегий для всех учетных записей.

2. Контроль учетных записей пользователей (UAC):

   • Убедитесь, что UAC включен и настроен на максимальный уровень уведомлений (по умолчанию). Это не блокирует эксплуатацию, но усложняет ее.

3. Антиэксплойтные меры (Windows Defender Exploit Guard):

   • Включите и настройте механизм "Защита от подделки" для критически важных процессов и настроек безопасности.
   • Активируйте функцию "Блокировка эксплойтов" с рекомендованными профилями. Это может помочь заблокировать некоторые техники эксплуатации уязвимостей в ядре. powershell # Проверить состояние ASR (Attack Surface Reduction) правил Get-MpPreference | Select-Object AttackSurfaceReductionRules_Ids, AttackSurfaceReductionRules_Actions

4. Мониторинг и обнаружение:

   • Настройте SIEM/SOC на отслеживание подозрительной активности, связанной с попытками повышения привилегий (например, необычные вызовы API в win32k.sys, запуск процессов от SYSTEM несистемными пользователями).
   • Включите аудит успешных и неудачных попыток входа в систему и повышения привилегий.