ไมโครซอฟท์ออกแพตช์ความปลอดภัย Patch Tuesday ประจำรอบเดือนสิงหาคม 2022 มีช่องโหว่ความปลอดภัยสำคัญคือ CVE-2022-34713 ที่มีชื่อเล่นว่า DogWalk ความร้ายแรงระดับสูง (high severity) และพบการใช้โจมตีจริงแล้ว

ช่องโหว่นี้เกี่ยวกับเครื่องมือ Windows Support Diagnostic Tool (MSDT) ที่ไมโครซอฟท์ใช้ซัพพอร์ตลูกค้า โดยผู้โจมตีสามารถรันโค้ดในระบบปฏิบัติการได้ โดยต้องอาศัยการส่งไฟล์หลอกให้ผู้ใช้กดก่อนผ่านเทคนิค phishing แบบต่างๆ เช่น อีเมลหรือส่งลิงก์

Windows รุ่นที่ได้รับผลกระทบมีตั้งแต่ 7, 8.1, 10, 11, Server 2008 R2, 2012, 2012 R2, 2016, 2019, 2022 เรียกว่าโดนครบถ้วนหน้าเสมอภาคกัน

ประเด็นน่าสนใจคือช่องโหว่ DogWalk ถูกค้นพบครั้งแรกโดยนักวิจัยความปลอดภัย Imre Rad ตั้งแต่เดือนมกราคม 2020 หรือราว 2 ปีครึ่ง แต่ไมโครซอฟท์ประเมินว่าไม่เกี่ยวกับความปลอดภัยเลยไม่แก้ไข อย่างไรก็ตาม ภายหลังมีนักวิจัยความปลอดภัยอีกคนที่ใช้นามแฝง @j00sean ค้นพบช่องโหว่นี้อีกครั้ง และแจ้งไปยังไมโครซอฟท์อีกรอบ

microsoft-edge + ms-search + MSDT path traversal 0day = fun of 2-clicks (one click additional due to Protected View if docx is coming from remote btw). pic.twitter.com/W4PwvqFhQu

— j00sean (@j00sean) June 6, 2022

ที่มา – Microsoft, BleepingComputer