細數微軟Patch Tuesday修補的十大漏洞

最新 05-12

周二，微軟和Adobe發布了一堆產品安全漏洞補丁，這些漏洞允許黑客繞過驗證、竊取我們的個人信息等，下面就讓我們來細數這次修補的十大關鍵漏洞。

01Hyper-V：CVE-2018-0959、CVE-2018-0961等

在Microsoft Hyper-V管理程序中的客戶虛擬機中運行的應用程序可以轉移到主機，並在其上執行惡意代碼。這意味著運行在客戶端虛擬機中的用戶以及登錄的用戶可以接管其他虛擬機以及底層伺服器。這些漏洞包含在CVE-2018-0959和CVE-2018-0961，後者涉及vSMB。這對於管理程序開發人員和管理員來說基本上是一場噩夢。

02Internet Explorer和Windows VBScript引擎：CVE-2018-8174

VBScript引擎可以通過內存損壞在系統上執行任意惡意代碼，為安裝惡意軟體鋪平道路，包含在漏洞CVE-2018-8174中。

微軟官方指出：

「在基於Web的攻擊情形中，攻擊者可以託管一個旨在通過Internet Explorer利用此漏洞的特製網站，然後誘使用戶查看該網站,或在Microsoft Office文檔中嵌入標記為」安全初始化「的ActiveX控制項。」

Edge中的Chakra腳本引擎也可以通過CVE-2018-0943利用邪惡的網頁在訪問所述頁面的計算機上運行代碼和惡意軟體。

03Windows內核：CVE-2018-8120、CVE-2018-8170等

攻擊者在易受攻擊的系統上運行惡意軟體，可以使用Windows內核（特別是Win32k組件）中的CVE-2018-8120錯誤獲取管理員許可權，以完全劫持設備。這隻影響Windows 7和Server 2008。

但是，Windows 10受CVE-2018-8170（Windows圖像處理系統中的許可權升級）的影響，如果應用程序在內核中引發一個惡意攫取，它可以通過計算機獲得管理員訪問許可權。

在各種版本的Windows中還存在其他內核級別的特權升級錯誤，例如CVE-2018-8897，CVE-2018-8134和CVE-2018-8124，可供應用程序和登錄用戶使用以獲取管理員許可權權利。

04Exchange和Office 365：CVE-2018-8153

Microsoft Exchange的CVE-2018-8153漏洞，允許利用Outlook Web Objects將用戶引導到釣魚網站，這些網站偽裝成合法網站來竊取他們的登錄密碼和其他信息。這其中，攻擊者必須通過電子郵件向受害者發送惡意鏈接，或者通過聊天消息來誘騙他們跟蹤。

微軟官方表示：

「成功利用此漏洞的攻擊者可以執行腳本或內容注入攻擊，並試圖欺騙用戶披露敏感信息，攻擊者還可能將用戶重定向到惡意網站，該惡意網站可能會有欺騙內容或被用作攻擊鏈接起來的樞紐。」

05網址過濾器(URL filters)

這方面的修復程序未解決Avanan本月報告的安全漏洞，我們可以通過將URL分割為電子郵件中的惡意網站來繞過Office 365的消息過濾器，或者在HTML郵件中使用標記，以使乾淨鏈接實際指向惡意網站。

目前，對於利用Office 365中的這一弱點的電子郵件，沒有任何已知的緩解措施。

如果你依靠微軟的雲套件來阻止包含指向不良網站鏈接的郵件，請注意，不法分子正在使用此過濾器旁路功能將人員網址發送到釣魚網站。

06Office和Excel：CVE-2018-8162、CVE-2018-8158等

在易受攻擊的計算機上打開惡意Office文檔（包括Excel電子表格）可能會觸發惡意軟體和間諜軟體的執行。例如，Excel中的CVE-2018-8162和Office中的CVE-2018-8158、CVE-2018-8161，可以通過誘殺文件，利用系統上運行的間諜軟體進行勒索。

同樣，攻擊者可以通過Microsoft COM for Windows中的CVE-2018-0824運行在電子郵件或網頁中的任意代碼。

07Containers：CVE-2018-8115

如果可以誘騙管理員進入偽裝的的容器映像，則可以利用Windows Host Compute Service Shim中的CVE-2018-8115來觸發主機伺服器上的惡意代碼的執行。

08域帳戶：CVE-2018-8136、CVE-2018-8168等

使用域帳戶可以利用CVE-2018-8136獲得管理員許可權。還有其他升級的特權漏洞，如Sharepoint（CVE-2018-8168），Windows通用日誌文件系統驅動程序（CVE-2018-8167）和DirectX（CVE-2018-8165）。這些可用於從一般用戶訪問轉到對易受攻擊的安裝，進而完全管理控制。

09物聯網：CVE-2018-8119

Azure的物聯網設備供應AMQP傳輸庫，這是一種在小工具上運行的軟體工具包，未正確驗證從其雲託管後端發送的安全證書。

該漏洞包含在CVE-2018-8119，意味著在中間人攻擊中，歹徒可能偽裝成網路上的Azure伺服器，並在配置期間劫持和竊聽來自物聯網設備的所謂安全連接。

10Adobe