Microsoft, Kasım Yaması Salı sürümleriyle Netlogon ve Kerberos’ta güvenlik sağlamlaştırmasını sunmaya başladı. Microsoft’a göre “Kasım 2022 güvenlik güncelleştirmesi, kuruluşların ortamlarını izlemelerini ve bu güvenlik güçlendirme değişikliklerine uymak için ayarlamalar yapmalarını gerektirecek aşamalı güvenlik güçlendirme değişikliklerinin başlangıcıdır.” Gerekli değişikliklere yardımcı olmak için üç KB makalesi yayınladılar:
- KB5020805: CVE-2022-37967 ile ilgili Kerberos protokolü değişiklikleri nasıl yönetilir?
- KB5021130: CVE-2022-38023 ile ilgili Netlogon protokolü değişiklikleri nasıl yönetilir?
- KB5021131: CVE-2022-37966 ile ilgili Kerberos protokolü değişiklikleri nasıl yönetilir?
Ne yazık ki, Kasım sürümleri saha için ani sorunlara neden oldu ve ertesi hafta bir dizi bant dışı güncelleme oldu. Bu sürümlere rağmen, özellikle etki alanı denetleyicilerinde, Yerel Güvenlik Yetkilisi Alt Sistem Hizmeti’nde (LSASS) bellek sızıntısı gibi, erişim hatalarına ve zaman içinde sistemin yeniden başlatılmasına neden olabilen başka sorunlar olmaya devam ediyor. Bu bellek sorunu, Windows Server 2008’den Windows Server 2019’a kadar olan sistemlerde görülür.
Buradaki iyi haber, Microsoft’un daha önceki Kerberos değişikliklerinin neden olduğu istikrarsızlığı yönetmek için bir geçici çözüm sağlamasıdır. Umalım ki Microsoft bu ay tüm bu rahatsız edici kararlılık ve bağlantı sorunlarının ince ayarını yapabilen bazı kapsamlı güncellemeler sağlar.
Google, CVE-2022-4262 güvenlik açığını gidermek için 2 Aralık’ta Chrome 108.0.5359.94’ü yayınladı. Bu, Chrome için bu yıl dokuzuncu sıfır gün güncellemesi. Henüz sistemlerinizi güncellemediyseniz, bu güncellemeyi aylık yama döngünüze dahil ettiğinizden emin olun.
Aralık 2022 Yama Salı tahmini
- Sondan ikinci ESU güncellemeleri seti önümüzdeki hafta yayınlanacak. Buna göre plan yapmalısınız çünkü bu sistemler Şubat ayından itibaren daha savunmasız hale geliyor.
- Olağan işletim sistemi güncellemelerini bekleyin. CVE düzeltmelerinin sayısı geçen ay beklenenden daha düşüktü, bu nedenle yüksek sayıda CVE’nin yıl sonuna kadar kapanacağını tahmin ediyorum. Geçen ay Microsoft Office, Exchange ve SharePoint Sunucularına odaklanıldı, bu nedenle düzeltmeler kritik olmayabilir, ancak göreceğiz.
- Bir Adobe Acrobat ve Reader sürümü için ön duyuru yoktur, ancak genellikle bize yıl sonu güncellemesi sağlarlar.
- Apple, Ventura, Monterey ve Big Sur için güncellemeler yayınlamayalı uzun zaman oldu. Yıl sonundan önce bu işletim sistemleri için bir dizi güncellemeyi hesaba katın.
- Bu hafta Google tarafından güncellenen birkaç beta kanalı vardı, bu yüzden önümüzdeki hafta kararlı kanallara yayınlanabileceklerini tahmin ediyorum.
- Mozilla’nın Firefox ve Firefox ESR için yaptığı son güncellemeler 15 Kasım’da geri geldi. Thunderbird, Kasım ayının sonunda bir güncelleme aldı, böylece önümüzdeki hafta üçünün de güncellemelerini görebildik.
Bir yılın daha geçtiğine inanmak zor. Log4j güvenlik açığının keşfedilmesinden bu yana bir yıl geçtiğini ve hala çok sayıda savunmasız sistem olduğunu gördüğümde, zamanın ne kadar hızlı geçtiği gerçeği beni şaşırttı. Bu yılı tamamlayıp 2023’e girerken, sistemlerinizi korumada (ya da değil) kaydettiğiniz ilerlemeyi düşünün ve gerçekten istediğiniz ve başarabileceğiniz bazı Yeni Yıl kararları alın!