当前位置:安全资讯 >> 全文

微软发布“补丁星期二”修复 0day 漏洞

发布时间:2018-9-12 18:14 标签: 漏洞,微软
分享到 0

微软发布9月份的“补丁星期二”,修复了60多个漏洞,其中包括一个经研究员披露后不久就遭恶意利用的 0day 漏洞。

任务调度程序中的0day 漏洞

这个已遭利用的 0day 漏洞是 CVE-2018-8440,它是由网络昵称为 SandboxEscaper 的研究员在827日披露的。研究人员因受挫于微软公司的漏洞报告流程而选择在推特上率先公开。

微软指出,该权限提升漏洞在 Windows 对任务调度程序的 ALPC 接口的调用处理不当时出现,它可遭认证攻击者提升权限后执行。ESET 公司表示,新出现的黑客组织 PowerPool 使用经修改的公开利用代码版本向位于美国、英国、德国、乌克兰、治理、印度、俄罗斯、菲律宾和波兰的少量用户传播。

修复前已遭公开但未遭利用的三个漏洞

微软在周二修复的三个其它漏洞在修复方案公布前已遭公开,但均未遭在野利用。

其中一个是严重漏洞 CVE-2018-8475,可导致攻击者通过让 Windows 目标用户执行一个特殊构造的图像文件的方式执行任意代码。趋势科技 ZDI 发布文章指出,“微软并未提及该漏洞在何时遭公开,但鉴于漏洞的严重程序以及相对容易遭利用的情况,该漏洞将很快遭利用工具包利用。”

另外一个被披露的严重漏洞是 CVE-2018-8457,它影响微软的 web 浏览器,可通过让目标访问恶意网站的方式执行任意代码。

最后一个被公开披露的漏洞是一个“重要的”DoS 问题,影响 .NET CoreASP.NET Core System.IO.Pipelines 组件。

其它漏洞

微软此次共修复17个被评为“严重”等级的漏洞,包括影响 WindowsWeb 浏览器和 .NET 框架的漏洞。其中两个值得琢磨的漏洞是 CVE-2018-0965 CVE-2018-8439。它们均影响 Windows Hyper-V,且允许攻击者访问 guest 虚拟机执行主机操作系统上的代码。

Adobe SAP也发布了各自的补丁星期二更新。Adobe 修复了存在于 Flash Player ColdFusion 中的10个漏洞,而 SAP 修复多款产品中的14个漏洞。

 

本文由360代码卫士编译,不代表360观点,转载请注明“转自360代码卫士www.codesafe.cn”。
原文链接:https://www.securityweek.com/microsoft-patches-windows-zero-day-disclosed-twitter
参与讨论,请先 登录 | 注册

用户评论