服務(wù)公告
微軟11月份月度安全漏洞預(yù)警
2018-11-19
一、概要
微軟近日發(fā)布了11月份安全補(bǔ)丁更新，共披露了多個安全漏洞，其中11個漏洞標(biāo)記為關(guān)鍵漏洞。攻擊者可利用漏洞獲取敏感信息，提升權(quán)限，欺騙，繞過安全功能限制，執(zhí)行遠(yuǎn)程代碼，或進(jìn)行拒絕服務(wù)攻擊等。受影響的應(yīng)用包括：Microsoft Internet Explorer 、Microsoft Outlook 、Microsoft Word 、Microsoft Excel 、Microsoft Project 、Microsoft JScript、Microsoft SharePoint 、Microsoft PowerShell、Windows TFTP 服務(wù)器、Chakra 腳本引擎、Windows 內(nèi)核、Microsoft Dynamics 365等Windows平臺下應(yīng)用軟件和組件。
微軟官方說明：
二、漏洞級別
漏洞級別：【嚴(yán)重】
（說明：漏洞級別共四級：一般、重要、嚴(yán)重、緊急。）
三、影響范圍
Microsoft Windows、Internet Explorer、Microsoft Edge、ChakraCore、Microsoft Office等產(chǎn)品。
四、重要漏洞說明詳情
|
CVE編號 |
漏洞名稱 |
嚴(yán)重程度 |
漏洞描述 |
|
CVE-2018-8541 CVE-2018-8542 CVE-2018-8543 CVE-2018-8551 CVE-2018-8555 CVE-2018-8556 CVE-2018-8557 CVE-2018-8588 |
Edge 瀏覽器內(nèi)存損壞漏洞 |
嚴(yán)重 |
腳本引擎在 Microsoft Edge 中處理內(nèi)存中的對象的方式中時存在遠(yuǎn)程代碼執(zhí)行可能觸發(fā)漏洞,攻擊者需要誘導(dǎo)用戶在Microsoft Edge上打開一個精心設(shè)計的惡意網(wǎng)站，以便利用這些bug。 |
|
CVE-2018-8476 |
Windows Deployment Services TFTP server 遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Windows 部署服務(wù) TFTP 服務(wù)器處理內(nèi)存中對象的方式存在遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞的攻擊者可以使用提升的特權(quán)在目標(biāo)系統(tǒng)上執(zhí)行任意代碼。若要利用此漏洞，攻擊者可以創(chuàng)建經(jīng)特殊設(shè)計的請求，從而使 Windows 利用提升的特權(quán)執(zhí)行任意代碼。 |
|
CVE-2018-8553 |
Microsoft Graphics Components遠(yuǎn)程執(zhí)行代碼漏洞 |
嚴(yán)重 |
Microsoft 圖形組件在內(nèi)存中處理對象的方式存在遠(yuǎn)程代碼執(zhí)行漏洞。成功利用該漏洞的攻擊者會對目標(biāo)系統(tǒng)執(zhí)行任意代碼。若要利用該漏洞，用戶可能需要打開一個特制的文件。 |
|
CVE-2018-8544 |
Windows VBScript Engine 遠(yuǎn)程代碼執(zhí)行漏洞 |
嚴(yán)重 |
VBScript 引擎處理內(nèi)存中對象的方式中存在遠(yuǎn)程執(zhí)行代碼漏洞。該漏洞可能以一種攻擊者可以在當(dāng)前用戶的上下文中執(zhí)行任意代碼的方式損壞內(nèi)存。成功利用該漏洞的攻擊者可以獲得與當(dāng)前用戶相同的用戶權(quán)限。如果當(dāng)前用戶使用管理用戶權(quán)限登錄，成功利用此漏洞的攻擊者便可控制受影響的系統(tǒng)。攻擊者可隨后安裝程序；查看、更改或刪除數(shù)據(jù)；或者創(chuàng)建擁有完全用戶權(quán)限的新帳戶。 在基于 Web 的攻擊情形中，攻擊者可能擁有一個旨在通過 Internet Explorer 利用此漏洞的經(jīng)特殊設(shè)計的網(wǎng)站，然后誘使用戶查看該網(wǎng)站。攻擊者也可能在托管 IE 呈現(xiàn)引擎的應(yīng)用程序或 Microsoft Office 文檔中嵌入標(biāo)有“安全初始化”的 ActiveX 控件。攻擊者還可能利用被入侵的網(wǎng)站以及接受或托管用戶提供的內(nèi)容或廣告的網(wǎng)站。這些網(wǎng)站可能包含可以利用此漏洞的經(jīng)特殊設(shè)計的內(nèi)容。 |
（注：以上為重要漏洞，其他漏洞及詳情請參見微軟官方說明）
五、安全建議
1、可通過Windows Update自動更新微軟補(bǔ)丁修復(fù)漏洞，也可以手動下載補(bǔ)丁，補(bǔ)丁下載地址：
https://portal.msrc.microsoft.com/en-us/security-guidance
2、為確保數(shù)據(jù)安全，建議重要業(yè)務(wù)數(shù)據(jù)進(jìn)行異地備份。
注意：修復(fù)漏洞前請將資料備份，并進(jìn)行充分測試。