文章概要:
1. 微軟發(fā)布2023年10月的“星期二補(bǔ)丁”更新，解決了103個(gè)漏洞，其中包括2個(gè)零日漏洞和13個(gè)嚴(yán)重漏洞。
2. 兩個(gè)零日漏洞中一個(gè)涉及Microsoft WordPad，可能泄露NTLM哈希，另一個(gè)涉及Skype for Business，可能導(dǎo)致敏感信息泄露。
3. 補(bǔ)丁還解決了Microsoft Message Queuing和Layer2Tunneling Protocol中的多個(gè)漏洞，以及Windows IIS Server中的嚴(yán)重特權(quán)升級(jí)漏洞。
站長之家(ChinaZ.com) 10月11日 消息:微軟于2023年10月發(fā)布了其“星期二補(bǔ)丁”更新，以應(yīng)對(duì)其軟件中的103個(gè)漏洞，其中包括2個(gè)零日漏洞和13個(gè)嚴(yán)重漏洞。這次更新不僅關(guān)注微軟自家的問題，還包括自九月的第二個(gè)星期二以來針對(duì)基于Chromium的Edge瀏覽器解決的18個(gè)安全漏洞。
這兩個(gè)零日漏洞中，一個(gè)標(biāo)識(shí)為CVE-2023-36563，涉及Microsoft WordPad，其漏洞評(píng)分為6.5，可能導(dǎo)致NTLM哈希的泄露。另一個(gè)是CVE-2023-41763，關(guān)聯(lián)Skype for Business，漏洞評(píng)分為5.3，可能導(dǎo)致IP地址或端口號(hào)等敏感信息的泄露，從而使威脅行為者能夠進(jìn)入內(nèi)部網(wǎng)絡(luò)。
根據(jù)微軟的建議，攻擊者需要首先登錄系統(tǒng)，然后運(yùn)行一個(gè)專門制作的應(yīng)用程序，以利用漏洞并接管受影響的系統(tǒng)。此外，攻擊者還可以說服本地用戶打開惡意文件，通過電子郵件或即時(shí)消息的誘導(dǎo)，說服用戶點(diǎn)擊鏈接，然后說服他們打開專門制作的文件。
此外，微軟還解決了影響Microsoft Message Queuing（MSMQ）和Layer2Tunneling Protocol的多個(gè)漏洞，這些漏洞可能導(dǎo)致遠(yuǎn)程代碼執(zhí)行和拒絕服務(wù)(DoS)。此次安全更新還解決了Windows IIS Server中的一個(gè)嚴(yán)重特權(quán)升級(jí)漏洞(CVE-2023-36434，CVSS評(píng)分為9.8)，可能允許攻擊者通過暴力攻擊冒充并登錄其他用戶。
此外，微軟還發(fā)布了一個(gè)關(guān)于CVE-2023-44487的更新，也被稱為HTTP/2Rapid Reset攻擊，此漏洞已被未知的攻擊者作為零日漏洞用于進(jìn)行大容量分布式拒絕服務(wù)（DDoS）攻擊。微軟指出，雖然這種DDoS可能影響服務(wù)可用性，但它本身不會(huì)導(dǎo)致客戶數(shù)據(jù)的泄漏，目前還沒有客戶數(shù)據(jù)泄漏的證據(jù)。
微軟宣布將淘汰Visual Basic Script（VBScript），該腳本經(jīng)常被惡意軟件利用進(jìn)行傳播。微軟補(bǔ)充說，在將來的Windows版本中，VBScript將作為按需功能提供，然后從操作系統(tǒng)中刪除。
（舉報(bào)）
