补丁星期二- 2023年7月

最后更新于2023年8月10日星期四20:52:42 GMT

微软将在今年7月解决130个漏洞 星期二补丁, 包括5个零日漏洞, 以及另外8个严重的远程代码执行(RCE)漏洞. 总的来说，可以肯定地说，这是一个比过去几个月更繁忙的补丁星期二. 请注意，报告的漏洞总数不再包括任何Edge-on-Chromium修复.

Office零日漏洞漏洞:没有补丁，没有问题

令人惊讶的是，五个零日漏洞中的一个还没有补丁. 微软正在积极调查公开披露的Office RCE cve - 2023 - 36884，并承诺一旦有进一步的指导意见，将立即更新该咨询. 利用需要受害者打开一个特制的恶意文档, 哪些通常是通过电子邮件发送的.

微软安全研究中心(MSRC) 博客文章链接了Storm-0978漏洞的利用, 微软对一个总部位于俄罗斯的网络犯罪组织的认定，在整个行业也被追踪到，该组织名为RomCom. MSRC建议RomCom / Storm-0978正在支持俄罗斯情报行动. 同一威胁行为者还与针对大量受害者的勒索软件攻击有关.

可以理解的是，后卫们因为缺乏即时的补丁而感到不安 cve - 2023 - 36884 是否应参考咨询文件中的多种缓解方案. 微软声称，安装了Defender for Office 365的资产已经受到了保护. 其他选项包括现有的可选端点攻击面减少(ASR)防御器。 防止Office创建子进程的规则以及修改注册表以禁用易受攻击的跨协议文件导航. 对于没有成熟的Defender程序的组织来说，注册表选项可能是最直接的选择, 但微软确实警告说，如果部署此缓解措施，依赖于该功能的某些用例将受到影响.

有广泛的相似之处 去年的福莱纳漏洞, 从2023年5月下旬开始公开讨论了两个多星期，直到微软在6月14日作为补丁星期二的一部分对其进行了修补. 虽然有可能打个补丁 cve - 2023 - 36884 会在下个月的补丁星期二发布吗, 微软Office几乎无处不在, and this threat actor is making waves; admins should be ready for an out-of-cycle security update for cve - 2023 - 36884.

这里的缓解选项菜单应该为每个微软商店提供一些东西, 但微软正在为本月的安全更新指南中提到的另外四个零日漏洞提供补丁，这让人松了一口气.

Windows错误报告:零日特权提升漏洞

cve - 2023 - 32046 描述了MSHTML浏览器呈现引擎中的一个漏洞，该漏洞允许攻击者以与被利用的用户帐户相同的权限进行操作. 成功利用需要受害者打开一个特制的恶意文件, 通常通过电子邮件或网页传递. Assets where Internet Explorer 11 has been fully disabled are still vulnerable until patched; the MSHTML engine remains installed within Windows regardless of the status of IE11, 因为它在其他语境中使用(例如.g. Outlook).

Windows错误报告服务中的一个单独的漏洞允许通过滥用Windows性能跟踪来提升管理员角色. To exploit cve - 2023 - 36874, 攻击者必须已经拥有对资产的本地访问权限, 因此，这个漏洞很可能构成一个更长的利用链的一部分.

SmartScreen & 展望:零日安全功能绕过漏洞

本月的零日漏洞还有两个安全功能绕过缺陷. cve - 2023 - 32049 允许攻击者制定一个URL，该URL将绕过Windows智能屏幕“你想打开这个文件吗??” dialog. 以前的SmartScreen旁路已经被广泛利用, 尤其是在没有通知的情况下发送勒索软件.

大致相似的是 cve - 2023 - 35311, 它描述了通过一个特制的URL绕过Microsoft Outlook安全通知对话框.

Windows RRAS:关键rce

另外八个严重的RCE漏洞也得到了修补, 包括Windows路由和远程访问服务(RRAS)中的三个相关漏洞，CVSS v3的基本得分为9.8 (cve - 2023 - 35365, cve - 2023 - 35366, and cve - 2023 - 35367). 在每种情况下，攻击者都可以向易受攻击的资产发送特制的数据包来实现RCE. Happily, 默认不安装或配置RRAS, 但是安装了rras的Windows Server的管理员无疑会优先考虑修复.

SharePoint:关键rce

任何负责本地SharePoint的人都应该打补丁，以避免各种潜在的影响 cve - 2023 - 33157 and cve - 2023 - 33160, 包括信息披露和编辑, 以及降低目标环境的可用性. 虽然这两个漏洞都要求攻击者已经作为至少具有站点成员权限的用户进行身份验证, 这并不一定是一种辩护, 因为这是除只读站点访问者角色之外具有最少特权的最低标准权限组, 并且通常会得到广泛的认可. 微软认为这两种情况都更有可能被利用.

Windows核心组件:关键rce

本月剩余的关键RCE补丁针对Windows Layer-2 Bridge Network Driver (cve - 2023 - 35315)，以及常见的Windows消息队列(cve - 2023 - 32057)和Windows PGM (cve - 2023 - 35297).

Windows远程桌面:绕过安全特性

cve - 2023 - 35352 会对任何运行RDP服务器的人感兴趣吗. 尽管该建议缺乏细节, 攻击者在建立远程桌面协议会话时可以绕过证书或私钥身份验证. 虽然CVSS v3的基本得分为7.5未达到临界带, 这只是因为微软给这个漏洞打分，认为它对机密性和可用性都没有影响, probably because the scoring is against the RDP service itself rather than whatever may be accessed downstream; this seems like a case where CVSS cannot fully capture the potential risk, 微软的安全更新严重性评级系统将此漏洞列为严重漏洞.

总结图表

汇总表

应用程序的漏洞

Azure的漏洞

开发人员工具漏洞

静电单位漏洞

Microsoft Dynamics漏洞

Microsoft Office漏洞

Microsoft Office Windows ESU漏洞

System Center漏洞

Windows操作系统漏洞

Windows ESU漏洞