CVE-2022-30190

Guida per la vulnerabilità CVE-2022-30190 dello strumento di diagnostica del supporto Microsoft MSRC / Di msrc / 30 maggio 2022 Lunedì 30 maggio 2022 Microsoft ha pubblicato CVE-2022-30190 riguardante la vulnerabilità dello strumento di diagnostica del supporto Microsoft (MSDT) in Windows.

Esiste una vulnerabilità di esecuzione remota di codice quando MSDT viene chiamato utilizzando il protocollo URL da un'applicazione chiamante come Word. Un utente malintenzionato che sfrutta con successo questa vulnerabilità può eseguire codice arbitrario con i privilegi dell'applicazione chiamante. L'utente malintenzionato può quindi installare programmi, visualizzare, modificare o eliminare dati, oppure creare nuovi account nel contesto consentito dai diritti dell'utente.

Soluzioni alternative Per disabilitare il protocollo URL MSDT

La disabilitazione del protocollo URL MSDT impedisce l'avvio degli strumenti di risoluzione dei problemi come collegamenti, inclusi i collegamenti nel sistema operativo. È comunque possibile accedere agli strumenti di risoluzione dei problemi tramite l'applicazione Ottieni assistenza e nelle impostazioni di sistema come altri strumenti di risoluzione aggiuntivi. Segui questi passaggi per disabilitare:

Esegui il prompt dei comandi come amministratore. Per eseguire il backup della chiave di registro, esegui il comando “reg export HKEY_CLASSES_ROOT\ms-msdt filename“ Esegui il comando “reg delete HKEY_CLASSES_ROOT\ms-msdt /f”. Come annullare la soluzione alternativa

Esegui il prompt dei comandi come amministratore. Per ripristinare la chiave di registro, esegui il comando “reg import filename” Rilevamenti e protezioni di Microsoft Defender Microsoft Defender Antivirus (MDAV) Microsoft Defender Antivirus fornisce rilevamenti e protezioni per il possibile sfruttamento della vulnerabilità con le seguenti firme utilizzando la build di rilevamento 1.367.851.0 o successiva:

Trojan:Win32/Mesdetty.A  (blocca la riga di comando msdt) Trojan:Win32/Mesdetty.B  (blocca la riga di comando msdt) Behavior:Win32/MesdettyLaunch.A!blk (termina il processo che ha avviato la riga di comando msdt) Trojan:Win32/MesdettyScript.A (rileva file HTML che contengono comandi sospetti di msdt in fase di rilascio) Trojan:Win32/MesdettyScript.B (rileva file HTML che contengono comandi sospetti di msdt in fase di rilascio) I clienti con Microsoft Defender Antivirus (MDAV) devono attivare la protezione basata sul cloud e l'invio automatico di campioni. Queste funzionalità utilizzano intelligenza artificiale e machine learning per identificare e bloccare rapidamente minacce nuove e sconosciute.

Microsoft Defender for Endpoint (MDE) Microsoft Defender for Endpoint fornisce ai clienti rilevamenti e avvisi. Il seguente titolo di avviso nel portale di Microsoft 365 Defender può indicare attività di minaccia sulla rete:

Comportamento sospetto da un'applicazione Office Comportamento sospetto da Msdt.exe I clienti di Microsoft Defender for Endpoint (MDE) possono abilitare la regola di riduzione della superficie di attacco "Blocca tutte le applicazioni Office dalla creazione di processi figlio" GUID: d4f940ab-401b-4efc-aadc-ad5f3c50688a che blocca le app Office dalla creazione di processi figlio. La creazione di processi figlio malevoli è una strategia comune per il malware. Per ulteriori informazioni, vedere la regola ASR Blocca tutte le applicazioni Office dalla creazione di processi figlio.

Microsoft Defender for Office 365 (MDO) Microsoft Defender for Office 365 fornisce rilevamenti e protezione per le email contenenti documenti malevoli o URL utilizzati per sfruttare questa vulnerabilità:

Trojan_DOCX_OLEAnomaly_AC Trojan_DOCX_OLEAnomaly_AD Trojan_DOCX_OLEAnomaly_AE Trojan_DOCX_OLEAnomaly_AF Exploit_UIA_CVE_2022_30190 Exploit_CVE_2022_30190_ShellExec Exploit_HTML_CVE_2022_30190_A Exploit_Win32_CVE_2022_30190_B Domande frequenti D: Protected View e Application Guard per Office forniscono protezione da questa vulnerabilità?

R: Se l'applicazione chiamante è un'applicazione Microsoft Office, per impostazione predefinita Microsoft Office apre i documenti provenienti da Internet in Protected View o Application Guard per Office, entrambi i quali impediscono l'attacco corrente.

Per informazioni su Protected View, vedere Che cos'è Protected View? Per informazioni su Application Guard per Office, vedere Application Guard per Office. D: La configurazione dell'impostazione GPO Computer Configuration\Administrative Templates\System\Troubleshooting and Diagnostics\Microsoft Support Diagnostic Tool\”Microsoft Support Diagnostic Tool: Turn on MSDT interactive communication with support provider” su “Disabled” è un'altra soluzione alternativa?

Registro di sistema Hive: HKEY_LOCAL_MACHINE Percorso del Registro: \Software\Policies\Microsoft\Windows\ScriptedDiagnosticsProvider\Policy
Nome valore: DisableQueryRemoteServer Tipo: REG_DWORD Valore: 0

R: No, questo GPO non fornisce protezione contro questa vulnerabilità. “Comunicazione interattiva con il provider di supporto” è una modalità speciale in cui MSDT viene eseguito quando avviato senza parametri, che non ha alcun impatto sul supporto di MSDT per il protocollo URL.

D: La configurazione dell'impostazione GPO Computer Configuration – Administrative Templates – System – Troubleshooting and Diagnostics – Microsoft Support Diagnostic Tool\”Troubleshooting: Allow users to access recommended troubleshooting for known problems” su “Disabled” è un'altra soluzione alternativa?

R: No, abilitare o disabilitare questo criterio di gruppo non ha alcun effetto sulla parte vulnerabile della funzionalità dello strumento di risoluzione dei problemi, quindi non è una soluzione alternativa valida.

D: Bloccare MSDT utilizzando tecnologie come Windows Defender Application Control (WDAC) equivale alla rimozione del gestore MSDT “HKEY_CLASSES_ROOT\ms-msdt” come soluzione alternativa valida?

R: Il blocco di MSDT impedirà l'avvio di tutti gli strumenti di risoluzione dei problemi basati su MSDT, come lo strumento di risoluzione dei problemi di rete e lo strumento di risoluzione dei problemi della stampante. La soluzione alternativa consigliata disabilita il supporto per fare clic sui collegamenti MSDT e gli utenti possono continuare a utilizzare i familiari strumenti di risoluzione dei problemi di Windows.

D: Quali versioni di Windows richiedono la soluzione alternativa?

R: Il protocollo URL MSDT è disponibile in Windows Server 2019 e Windows 10 versione 1809 e versioni successive supportate di Windows. La chiave di registro menzionata nella sezione della soluzione alternativa non esisterà nelle versioni precedenti supportate di Windows, pertanto la soluzione alternativa non è necessaria.

Aggiorneremo CVE-2022-30190 con ulteriori informazioni.

Il team MSRC

Revisioni: 06/06/2022 – Aggiunte ulteriori domande frequenti. 06/07/2022 – Aggiunta un'ulteriore domanda e risposta. 06/07/2022 – Aggiunte ulteriori informazioni di rilevamento.