Microsoft pede que usuários do Windows executem patch para vulnerabilidade DogWalk
Apesar de alegar anteriormente que DogWalk não constituía um problema, Microsoft lançoupatch para impedir que invasores explorem a vulnerabilidade
A Microsoft confirmou que uma vulnerabilidade de segurança de dia zero de alta gravidade está sendo explorada ativamente por agentes de ameaças e está aconselhando todos os usuários do Windows e do Windows Server a aplicar sua atualização mensal mais recente da Patch Tuesday o mais rápido possível.
A vulnerabilidade, conhecida como CVE-2022-34713 ou DogWalk, permite que os invasores explorem uma fraqueza no Windows Microsoft Support Diagnostic Tool (MSDT). Ao usar engenharia social ou phishing, os invasores podem induzir os usuários a visitar um site falso ou abrir um documento ou arquivo malicioso e, por fim, obter a execução remota de código em sistemas comprometidos.
A DogWalk afeta todas as versões do Windows com suporte, incluindo as versões mais recentes de cliente e servidor, Windows 11 e Windows Server 2022.
A vulnerabilidade foi relatada pela primeira vez em janeiro de 2020, mas na época, a Microsoft disse que não considerava a exploração um problema de segurança. Esta é a segunda vez nos últimos meses que a Microsoft foi forçada a mudar sua posição em uma exploração conhecida, tendo inicialmente rejeitado relatórios que mostravam que outra vulnerabilidade de dia zero do Windows MSDT, conhecida como Follina, representava uma ameaça à segurança. Um patch para esse exploit foi lançado na atualização da Patch Tuesday de junho.
Charl van der Walt, Chefe de Pesquisa de Segurança da Orange Cyberdefense, disse que, embora a Microsoft possa ser criticada por não considerar a frequência e a facilidade com que arquivos com extensões aparentemente inocentes são usados para fornecer cargas maliciosas, também observou que, com vários milhares de vulnerabilidades relatados a cada ano, é de se esperar que a abordagem de triagem baseada em risco da Microsoft para avaliar vulnerabilidades não seja infalível.
“Se tudo é urgente, então nada é urgente”, disse ele. “A comunidade de segurança há muito parou de acreditar que vulnerabilidades e ameaças serão erradicadas em breve, então o desafio agora se torna o desenvolvimento de um tipo de agilidade que possa perceber mudanças no cenário de ameaças e se adaptar de acordo”.
