Patch Tuesday: 1235 уязвимостей за день и zero-day в Outlook, уводящая NTLM-хеши

Что случилось

10 ноября Microsoft выпустила ноябрьский набор обновлений безопасности: 1235 исправленных уязвимостей за один выпуск — рекорд для компании. Среди них 66 критических, 48 позволяют выполнить код удалённо, 15 дают повышение привилегий, ещё три относятся к использованию памяти после освобождения в Microsoft Edge.

Вместе с ними закрыта уязвимость нулевого дня в Outlook, которую уже применяли в атаках: открытие специально подготовленного файла сообщения приводило к отправке NTLM-хеша учётной записи на сервер злоумышленника.

Детали

Около 639 исправлений касаются Windows и её компонентов. В списке есть и удалённое выполнение кода, и отказ в обслуживании в службах Active Directory, то есть патчить придётся не только рабочие станции, но и контроллеры домена.

Механика zero-day относится к классу NTLM credential disclosure. Атакующий присылает файл сообщения и убеждает пользователя его открыть; Outlook обращается к сетевому ресурсу под его контролем, причём без привычного предупреждения о внешнем содержимом, и Windows автоматически пытается аутентифицироваться. В результате перехватывается хеш NTLMv2, который затем перебирают офлайн и используют для входа под чужой учётной записью. Эксплуатация требует сетевой доступности и действия самого пользователя — типичная фишинговая схема.

• Windows 11 — KB5132061 и KB5131087, Windows 10 — KB5131096 в рамках расширенной поддержки;
• счёт 1235 не включает 108 уязвимостей, закрытых Microsoft за предыдущие недели месяца: 25 в Edge, 82 в продуктах Mariner и одну в Entra Device Registration;
• октябрьский выпуск был ещё крупнее — 1411 уязвимостей.

Microsoft не скрывает причину роста: компания применяет ИИ для поиска ошибок в собственном коде, и находок стало больше, чем успевают разобрать прежними темпами. Тот же эффект виден в ядре Linux, где мейнтейнеры жалуются на поток патчей, сгенерированных машинами.

Что это значит

Порядок действий для администратора предсказуем: первым делом Outlook и почтовые шлюзы, затем контроллеры домена и серверы с ролями Active Directory, потом остальное. Отдельно стоит проверить, отключён ли в домене NTLM там, где он не нужен, и включена ли защита от релея — уязвимость работает именно на автоматической аутентификации Windows.

В тот же день обновления выпустили Cisco (Catalyst SD-WAN Controller, Secure Email Gateway, Meraki), Ivanti (две дыры в Connect Secure, сцепленные в атаках с начала октября), SonicWall (семь дыр в SonicOS, включая обход аутентификации в SSL-VPN), SAP (четыре уязвимости максимальной критичности) и Barracuda (две дыры, дающие root). Всё это — серверное и сетевое ПО, которое стоит в периметре, поэтому ноябрьский вторник для инфраструктурной команды выдался плотным.

Тем, кто держит Windows 10 на расширенной поддержке, напомним: обновления там выходят отдельным пакетом и без установки накопительного обновления защиты не применяются.