CVE-2022-41033
Microsoft Windows COM+ Event System Service
2022-10-11
Microsoft Windows COM+ Event System Service contains an unspecified vulnerability that allows for privilege escalation.
Технический анализ и план устранения
Суть уязвимости
CVE-2022-41033 представляет собой уязвимость типа Local Privilege Escalation (LPE) в службе системы событий COM+ (COM+ Event System Service) операционной системы Microsoft Windows. Проблема вызвана некорректной обработкой объектов в памяти, что позволяет локальному пользователю с низкими привилегиями выполнить произвольный код с правами системы (SYSTEM). Данная уязвимость классифицируется как "Zero-day", так как на момент обнаружения она уже эксплуатировалась злоумышленниками в реальных атаках.
Как исправить
Основным и единственным надежным способом устранения уязвимости является установка официальных обновлений безопасности Microsoft от октября 2022 года (Patch Tuesday).
- Проверьте наличие установленного обновления через PowerShell:
get-hotfix | Where-Object {$_.HotFixID -match "KB5018410" -or $_.HotFixID -match "KB5018418" -or $_.HotFixID -match "KB5018419"}
- Если обновления отсутствуют, инициируйте поиск и установку обновлений через Центр обновления Windows или используйте модуль PSWindowsUpdate:
Install-Module PSWindowsUpdate
Get-WindowsUpdate -Install -AcceptAll -AutoReboot
- Для серверных систем скачайте соответствующий пакет обновления из каталога Microsoft Update (Microsoft Update Catalog), ориентируясь на версию вашей ОС (например, KB5018410 для Windows 10 21H2 или KB5018427 для Windows Server 2019).
Временные меры
Если немедленная установка патчей невозможна, рекомендуется принять следующие меры для снижения риска эксплуатации:
-
Ограничьте права локальных пользователей и строго соблюдайте принцип наименьших привилегий (PoLP), чтобы затруднить первичный доступ злоумышленника в систему.
-
Настройте аудит создания процессов и отслеживайте подозрительную активность, исходящую от системных процессов, особенно если родительским процессом для
cmd.exeилиpowershell.exeстановится служба, связанная с COM+. -
Используйте средства защиты конечных точек (EDR/AV) с актуальными сигнатурами и поведенческим анализом для обнаружения попыток эксплуатации LPE.
-
В критических случаях, если функционал COM+ Event System не используется (что редкость для стандартных рабочих станций Windows), можно рассмотреть возможность остановки службы, однако это может привести к нестабильности системы:
Stop-Service -Name "EventSystem" -Force
Set-Service -Name "EventSystem" -StartupType Disabled