CVE-2023-29360

IMMEDIATE ACTIONS:

1. Identify all systems running Microsoft Streaming Service across your environment

2. Prioritize patching for critical systems: government networks, banking infrastructure, healthcare systems, and energy sector SCADA/ICS systems

3. Apply Microsoft security updates immediately upon availability



PATCHING GUIDANCE:

1. Deploy patches through WSUS or Microsoft Update for Windows systems

2. Test patches in non-production environments first

3. Implement phased rollout starting with critical infrastructure

4. Verify patch installation using Get-HotFix PowerShell command



COMPENSATING CONTROLS (if immediate patching delayed):

1. Disable Streaming Service if not required: sc config "Streaming Service" start=disabled

2. Restrict local access through Group Policy and firewall rules

3. Implement application whitelisting to prevent unauthorized execution

4. Monitor for suspicious process creation and privilege escalation attempts



DETECTION RULES:

1. Monitor Event ID 4688 for suspicious process creation with SYSTEM privileges

2. Alert on Streaming Service process spawning child processes

3. Track failed and successful privilege escalation attempts (Event ID 4673)

4. Monitor for pointer dereference exceptions in system logs

5. Implement EDR rules detecting local privilege escalation patterns

الإجراءات الفورية:

1. تحديد جميع الأنظمة التي تقوم بتشغيل خدمة Microsoft Streaming Service في بيئتك

2. إعطاء الأولوية لتصحيح الأنظمة الحرجة: شبكات الحكومة والبنية التحتية المصرفية وأنظمة الرعاية الصحية وأنظمة الطاقة SCADA/ICS

3. تطبيق تحديثات أمان Microsoft فوراً عند توفرها



إرشادات التصحيح:

1. نشر التصحيحات عبر WSUS أو Microsoft Update لأنظمة Windows

2. اختبار التصحيحات في بيئات غير الإنتاج أولاً

3. تنفيذ نشر متدرج بدءاً من البنية التحتية الحرجة

4. التحقق من تثبيت التصحيح باستخدام أمر PowerShell Get-HotFix



الضوابط البديلة (إذا تأخر التصحيح الفوري):

1. تعطيل خدمة Streaming إذا لم تكن مطلوبة: sc config "Streaming Service" start=disabled

2. تقييد الوصول المحلي من خلال Group Policy وقواعد جدار الحماية

3. تنفيذ القائمة البيضاء للتطبيقات لمنع التنفيذ غير المصرح به

4. مراقبة محاولات إنشاء العمليات والامتيازات المريبة



قواعد الكشف:

1. مراقبة Event ID 4688 لإنشاء عمليات مريبة بامتيازات SYSTEM

2. التنبيه عند توليد عملية Streaming Service لعمليات فرعية

3. تتبع محاولات تصعيد الامتيازات الفاشلة والناجحة (Event ID 4673)

4. مراقبة استثناءات إلغاء المؤشرات في سجلات النظام

5. تنفيذ قواعد EDR للكشف عن أنماط تصعيد الامتيازات المحلية