در روز نهم نوامبر (۱۸ آبان) شرکت مایکروسافت به رسم هر ماه وصله‌های امنیتی محصولات خود را عرضه کرد و 6 آسیب‌پذیری روز صفر و در کل 55 نقص امنیتی را رفع نمود. آسیب‌پذیری‌هایی که به صورت فعال مورد سوءاستفاده قرار می‌گیرند مرتبط با محصولات Exchange و Excel می‌باشند که آسیب‌پذیری روز صفر Exchange به عنوان بخشی از مسابقات هک Tianfu مورد استفاده قرار گرفت.
این آسیب‌پذیری‌ها شامل 6 نمونه حیاتی و 49 نمونه مهم می‌باشند. تعداد هر کدام از آسیب‌پذیری‌ها نیز بر اساس زیر دسته‌بندی شده‌اند:
- 20 نمونه از نوع ترفیع امتیاز (Elevation of Privilege)
- 2 نمونه از نوع عبور از تجهیزات امنیتی (Security Feature Bypass)
- 15 نمونه از نوع اجرای کد از راه دور (Remote Code Execution)
- 10 نمونه از نوع افشای اطلاعات (Information Disclosure)
- 3 نمونه از نوع منع سرویس (Denial of Service)
- 4 نمونه از نوع جعل (Spoofing)
برای کسب اطلاعات بیشتر و دریافت و نصب وصله‌های امنیتی ارائه شده به سایت مایکروسافت مراجعه نمایید.
6 آسیب‌پذیری روز صفر که 2 مورد از آنها مورد بهره برداری قرار می‌گیرند
مایکروسافت در صورتی یک آسیب‌پذیری را به عنوان روز صفر طبقه‌بندی می‌کند که پیش از انتشار هر نوع وصله رسمی برای آن، به‌طور عمومی افشا شده و یا مورد سوء استفاده قرار گرفته باشد.
آسیب‌پذیری‌های که مورد بهره برداری قرار گرفته‌اند شامل:
- CVE-2021-42292– آسیب پذیری از نوع عبور از تجهیزات امنیتی در نرم افزار Excel
- CVE-2021-42321– آسیب پذیری از نوع اجرای کد از راه دور در سرور Exchange
* به‌روزرسانی‌های امنیتی مایکروسافت Office برای سیستم عامل مک تاکنون ارائه نشده است.
همچنین این شرکت چهار نمونه دیگر از آسیب‌پذیری‌ها که به طور عمومی افشا شده‌اند را رفع کرده که به نظر مورد بهره‌برداری قرار نگرفته‌اند:
- CVE-2021-38631– مرتبط با افشای اطلاعات از طریق پروتکل ریموت دسکتاپ (RDP) ویندوز
- CVE-2021-41371– مرتبط با افشای اطلاعات از طریق پروتکل ریموت دسکتاپ (RDP) ویندوز
- CVE-2021-43208– مرتبط با اجرای کد از راه دور در برنامه 3D Viewer مایکروسافت
- CVE-2021-43209– مرتبط با اجرای کد از راه دور در برنامه 3D Viewer مایکروسافت
لیست کامل به‌روزرسانی شرکت مایکروسافت
در ادامه می‌توانید لیست کامل آسیب پذیری‌های برطرف شده و توصیه‌های منتشر شده در به‌روزرسانی نوامبر 2021 را مطالعه کنید:
| محصول آسیب پذیر | شناسه CVE | عنوان CVE | شدت |
| 3D Viewer | CVE-2021-43209 | 3D Viewer Remote Code Execution Vulnerability | Important |
| 3D Viewer | CVE-2021-43208 | 3D Viewer Remote Code Execution Vulnerability | Important |
| Azure | CVE-2021-41373 | FSLogix Information Disclosure Vulnerability | Important |
| Azure RTOS | CVE-2021-42303 | Azure RTOS Elevation of Privilege Vulnerability | Important |
| Azure RTOS | CVE-2021-42302 | Azure RTOS Elevation of Privilege Vulnerability | Important |
| Azure RTOS | CVE-2021-42301 | Azure RTOS Information Disclosure Vulnerability | Important |
| Azure RTOS | CVE-2021-42323 | Azure RTOS Information Disclosure Vulnerability | Important |
| Azure RTOS | CVE-2021-26444 | Azure RTOS Information Disclosure Vulnerability | Important |
| Azure RTOS | CVE-2021-42304 | Azure RTOS Elevation of Privilege Vulnerability | Important |
| Azure Sphere | CVE-2021-41374 | Azure Sphere Information Disclosure Vulnerability | Important |
| Azure Sphere | CVE-2021-41376 | Azure Sphere Information Disclosure Vulnerability | Important |
| Azure Sphere | CVE-2021-42300 | Azure Sphere Tampering Vulnerability | Important |
| Azure Sphere | CVE-2021-41375 | Azure Sphere Information Disclosure Vulnerability | Important |
| Microsoft Dynamics | CVE-2021-42316 | Microsoft Dynamics 365 (on-premises) Remote Code Execution Vulnerability | Critical |
| Microsoft Edge (Chromium-based) in IE Mode | CVE-2021-41351 | Microsoft Edge (Chrome based) Spoofing on IE Mode | Important |
| Microsoft Exchange Server | CVE-2021-42305 | Microsoft Exchange Server Spoofing Vulnerability | Important |
| Microsoft Exchange Server | CVE-2021-41349 | Microsoft Exchange Server Spoofing Vulnerability | Important |
| Microsoft Exchange Server | CVE-2021-42321 | Microsoft Exchange Server Remote Code Execution Vulnerability | Important |
| Microsoft Office Access | CVE-2021-41368 | Microsoft Access Remote Code Execution Vulnerability | Important |
| Microsoft Office Excel | CVE-2021-40442 | Microsoft Excel Remote Code Execution Vulnerability | Important |
| Microsoft Office Excel | CVE-2021-42292 | Microsoft Excel Security Feature Bypass Vulnerability | Important |
| Microsoft Office Word | CVE-2021-42296 | Microsoft Word Remote Code Execution Vulnerability | Important |
| Microsoft Windows | CVE-2021-41356 | Windows Denial of Service Vulnerability | Important |
| Microsoft Windows Codecs Library | CVE-2021-42276 | Microsoft Windows Media Foundation Remote Code Execution Vulnerability | Important |
| Power BI | CVE-2021-41372 | Power BI Report Server Spoofing Vulnerability | Important |
| Role: Windows Hyper-V | CVE-2021-42284 | Windows Hyper-V Denial of Service Vulnerability | Important |
| Role: Windows Hyper-V | CVE-2021-42274 | Windows Hyper-V Discrete Device Assignment (DDA) Denial of Service Vulnerability | Important |
| Visual Studio | CVE-2021-3711 | OpenSSL: CVE-2021-3711 SM2 Decryption Buffer Overflow | Critical |
| Visual Studio | CVE-2021-42319 | Visual Studio Elevation of Privilege Vulnerability | Important |
| Visual Studio Code | CVE-2021-42322 | Visual Studio Code Elevation of Privilege Vulnerability | Important |
| Windows Active Directory | CVE-2021-42278 | Active Directory Domain Services Elevation of Privilege Vulnerability | Important |
| Windows Active Directory | CVE-2021-42291 | Active Directory Domain Services Elevation of Privilege Vulnerability | Important |
| Windows Active Directory | CVE-2021-42287 | Active Directory Domain Services Elevation of Privilege Vulnerability | Important |
| Windows Active Directory | CVE-2021-42282 | Active Directory Domain Services Elevation of Privilege Vulnerability | Important |
| Windows COM | CVE-2021-42275 | Microsoft COM for Windows Remote Code Execution Vulnerability | Important |
| Windows Core Shell | CVE-2021-42286 | Windows Core Shell SI Host Extension Framework for Composable Shell Elevation of Privilege Vulnerability | Important |
| Windows Cred SSProvider Protocol | CVE-2021-41366 | Credential Security Support Provider Protocol (CredSSP) Elevation of Privilege Vulnerability | Important |
| Windows Defender | CVE-2021-42298 | Microsoft Defender Remote Code Execution Vulnerability | Critical |
| Windows Desktop Bridge | CVE-2021-36957 | Windows Desktop Bridge Elevation of Privilege Vulnerability | Important |
| Windows Diagnostic Hub | CVE-2021-42277 | Diagnostics Hub Standard Collector Elevation of Privilege Vulnerability | Important |
| Windows Fastfat Driver | CVE-2021-41377 | Windows Fast FAT File System Driver Elevation of Privilege Vulnerability | Important |
| Windows Feedback Hub | CVE-2021-42280 | Windows Feedback Hub Elevation of Privilege Vulnerability | Important |
| Windows Hello | CVE-2021-42288 | Windows Hello Security Feature Bypass Vulnerability | Important |
| Windows Installer | CVE-2021-41379 | Windows Installer Elevation of Privilege Vulnerability | Important |
| Windows Kernel | CVE-2021-42285 | Windows Kernel Elevation of Privilege Vulnerability | Important |
| Windows NTFS | CVE-2021-42283 | NTFS Elevation of Privilege Vulnerability | Important |
| Windows NTFS | CVE-2021-41370 | NTFS Elevation of Privilege Vulnerability | Important |
| Windows NTFS | CVE-2021-41378 | Windows NTFS Remote Code Execution Vulnerability | Important |
| Windows NTFS | CVE-2021-41367 | NTFS Elevation of Privilege Vulnerability | Important |
| Windows RDP | CVE-2021-38665 | Remote Desktop Protocol Client Information Disclosure Vulnerability | Important |
| Windows RDP | CVE-2021-38631 | Windows Remote Desktop Protocol (RDP) Information Disclosure Vulnerability | Important |
| Windows RDP | CVE-2021-38666 | Remote Desktop Client Remote Code Execution Vulnerability | Critical |
| Windows RDP | CVE-2021-41371 | Windows Remote Desktop Protocol (RDP) Information Disclosure Vulnerability | Important |
| Windows Scripting | CVE-2021-42279 | Chakra Scripting Engine Memory Corruption Vulnerability | Critical |
| Windows Virtual Machine Bus | CVE-2021-26443 | Microsoft Virtual Machine Bus (VMBus) Remote Code Execution Vulnerability | Critical |
