【威胁通告】微软发布1月补丁修复49个安全问题
2020-01-14
综述
微软于周二发布了1月安全更新补丁，修复了49个从简单的欺骗攻击到远程执行代码的安全问题，产品涉及.NET Framework、Apps、ASP.NET、Common Log File System Driver、Microsoft Dynamics、Microsoft Graphics Component、Microsoft Office、Microsoft Scripting Engine、Microsoft Windows、Microsoft Windows Search Component、Windows Hyper-V、Windows Media、Windows RDP、Windows Subsystem for Linux以及Windows Update Stack。
本月微软月度更新修复的漏洞中，严重程度为关键（Critical）的漏洞共有 8 个，分别存在于 .NET Framework、ASP.NET、Microsoft Scripting Engine以及Windows RDP中。除此之外，还包含41个重要（Important）漏洞。
Critical漏洞概述
以下为此次更新中包含的8个Critical级别漏洞。
Windows RDP
- CVE-2020-0609、CVE-2020-0610
这两个Windows远程桌面网关（RD网关）远程代码执行漏洞可被未经身份验证的攻击者利用。
如果利用成功，则可能在目标系统上执行任意代码。然后，攻击者可能会安装程序。查看，更改或删除数据；或创建具有完全用户权限的新帐户。
要利用此漏洞，攻击者将需要通过RDP向目标系统RD网关发送特制请求。
本次更新通过更正RD网关处理连接请求的方式来解决该问题。
关于漏洞的更多详情及更新下载，请参考微软官方安全通告：
- CVE-2020-0611
这是 Windows远程桌面客户端中的一个远程代码执行漏洞。
成功利用此漏洞的攻击者可以在连接到恶意服务器的用户计算机上执行任意代码。然后，攻击者可能会安装程序。查看，更改或删除数据；或创建具有完全用户权限的新帐户。
要利用此漏洞，攻击者需要控制服务器，然后诱使用户连接到该服务器。如果用户访问了恶意的服务器，则可以触发此漏洞。虽然攻击者无法强迫用户连接到恶意服务器，但他们可能会通过社工，DNS中毒或中间人（MITM）技术诱使用户进行连接。攻击者还可能破坏合法服务器，在其上托管恶意代码，然后等待用户连接。
关于漏洞的更多详情及更新下载，请参考微软官方安全通告：
Microsoft Scripting Engine
- CVE-2020-0640
这是 Internet Explorer 处理内存中对象的方式中存在的一个内存损坏漏洞。该漏洞使攻击者可以在当前用户的上下文中执行任意代码。
成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，则攻击者可以控制受影响的系统。然后，可能会安装程序。查看，更改或删除数据；或创建具有完全用户权限的新帐户。
攻击者可能会搭建一个特制的网站，然后诱使用户查看该网站。不过攻击者无法强迫用户查看恶意内容。所以通常会通过电子邮件或即时消息的方式来诱导用户。
Internet Explorer 9、10、11 均受影响。
关于漏洞的更多详情及更新下载，请参考微软官方安全通告：
ASP.NET 和.NET Framework
- CVE-2020-0603 、CVE-2020-0605、CVE-2020-0606、CVE-2020-0646
以上漏洞是.NET和ASP.NET核心软件中的远程代码执行漏洞。如果用户在使用受影响的.NET或ASP.NET Core版本时打开恶意的特制文件，则可以触发这些漏洞。如果利用成功，攻击者便可以在当前用户的上下文中执行任意代码。这些错误存在于软件处理内存对象的方式中。
关于漏洞的更多详情及更新下载，请参考微软官方安全通告：
Important漏洞概述
除了Critical漏洞外，此次更新还包含了41个important 级别漏洞，其中3较需关注的漏洞如下。
CVE-2020-0601
这是Windows CryptoAPI中的一个欺骗漏洞。由于crypt32.dll不正确地验证了椭圆曲线密码证书。攻击者可能利用此错误来欺骗代码签名证书并秘密签名文件，从而使该文件看起来好像来自受信任的源。攻击者也可能使用此漏洞进行中间人攻击并解密机密信息。
关于漏洞的更多详情及更新下载，请参考微软官方安全通告：
CVE-2020-0616
这是一个Microsoft Windows拒绝服务漏洞。当Windows无法正确处理硬链接时，存在该漏洞。成功利用此漏洞的攻击者可能导致目标系统停止响应。
攻击者必须登录受害者计算机以利用此漏洞，然后运行经特殊设计的应用程序，该漏洞将使攻击者可以覆盖系统文件。
关于漏洞的更多详情及更新下载，请参考微软官方安全通告：
CVE-2020-0654
Android的Microsoft OneDrive应用程序中存在一个安全功能绕过漏洞。这可能使攻击者可以绕过应用程序的密码或指纹。
关于漏洞的更多详情及更新下载，请参考微软官方安全通告：
修复概况
本次更新的漏洞修复情况见下表：
| 产品 | CVE 编号 | CVE 标题 | 严重程度 |
| .NET Framework | CVE-2020-0605 | .NET Framework 远程代码执行漏洞 | Critical |
| .NET Framework | CVE-2020-0606 | .NET Framework 远程代码执行漏洞 | Critical |
| .NET Framework | CVE-2020-0646 | .NET Framework Remote Code Execution Injection Vulnerability | Critical |
| Apps | CVE-2020-0654 | Microsoft OneDrive for Android 安全功能绕过漏洞 | Important |
| ASP.NET | CVE-2020-0602 | ASP.NET Core 拒绝服务漏洞 | Important |
| ASP.NET | CVE-2020-0603 | ASP.NET Core 远程代码执行漏洞 | Critical |
| Common Log File System Driver | CVE-2020-0615 | Windows Common Log File System Driver 信息泄露漏洞 | Important |
| Common Log File System Driver | CVE-2020-0639 | Windows Common Log File System Driver 信息泄露漏洞 | Important |
| Common Log File System Driver | CVE-2020-0634 | Windows Common Log File System Driver 特权提升漏洞 | Important |
| Microsoft Dynamics | CVE-2020-0656 | Microsoft Dynamics 365 (On-Premise) Cross Site Scripting Vulnerability | Important |
| Microsoft Graphics Component | CVE-2020-0607 | Microsoft Graphics Components 信息泄露漏洞 | Important |
| Microsoft Graphics Component | CVE-2020-0622 | Microsoft Graphics Component 信息泄露漏洞 | Important |
| Microsoft Graphics Component | CVE-2020-0642 | Win32k 特权提升漏洞 | Important |
| Microsoft Graphics Component | CVE-2020-0643 | Windows GDI+ 信息泄露漏洞 | Important |
| Microsoft Office | CVE-2020-0647 | Microsoft Office Online 欺骗漏洞 | Important |
| Microsoft Office | CVE-2020-0650 | Microsoft Excel 远程代码执行漏洞 | Important |
| Microsoft Office | CVE-2020-0651 | Microsoft Excel 远程代码执行漏洞 | Important |
| Microsoft Office | CVE-2020-0652 | Microsoft Office 内存破坏漏洞 | Important |
| Microsoft Office | CVE-2020-0653 | Microsoft Excel 远程代码执行漏洞 | Important |
| Microsoft Scripting Engine | CVE-2020-0640 | Internet Explorer 内存破坏漏洞 | Critical |
| Microsoft Windows | CVE-2020-0601 | Windows CryptoAPI 欺骗漏洞 | Important |
| Microsoft Windows | CVE-2020-0608 | Win32k 信息泄露漏洞 | Important |
| Microsoft Windows | CVE-2020-0616 | Microsoft Windows 拒绝服务漏洞 | Important |
| Microsoft Windows | CVE-2020-0620 | Microsoft Cryptographic Services 特权提升漏洞 | Important |
| Microsoft Windows | CVE-2020-0621 | Windows 安全功能绕过漏洞 | Important |
| Microsoft Windows | CVE-2020-0624 | Win32k 特权提升漏洞 | Important |
| Microsoft Windows | CVE-2020-0635 | Windows 特权提升漏洞 | Important |
| Microsoft Windows | CVE-2020-0644 | Windows 特权提升漏洞 |
✕
您的联系方式 |