Microsoft | 12月多个产品漏洞通告
发布时间 2020-12-090x00 漏洞概述
2020年12月08日，Microsoft发布了12月份的安全更新，本次发布的安全漏洞共计58个，相较于上月减少了54个。其中有9个漏洞评级为严重，46个漏洞评级为高危。在此次发布的安全漏洞中，其中有23个漏洞为远程代码执行漏洞，14个漏洞为权限提升漏洞，9个漏洞为信息泄露漏洞。
0x01 漏洞详情
微软本次发布的安全更新中，受影响的产品和组件包括：Microsoft Windows、Microsoft Edge (EdgeHTML-based)、Microsoft Edge for Android、ChakraCore、Microsoft Office and Microsoft Office Services and Web Apps、Microsoft Exchange Server、Azure DevOps、Microsoft Dynamics、Visual Studio、Azure SDK和Azure Sphere。
本次发布的完整漏洞列表如下：
CVE-ID | 漏洞名称 | 严重程度 |
CVE-2020-17131 | Chakra脚本引擎内存损坏漏洞 | 严重 |
CVE-2020-17095 | Hyper-V远程代码执行漏洞 | 严重 |
CVE-2020-17152 | Microsoft Dynamics 365 for Finance and Operations代码执行漏洞 | 严重 |
CVE-2020-17158 | Microsoft Dynamics 365 for Finance and Operations代码执行漏洞 | 严重 |
CVE-2020-17117 | Microsoft Exchange远程代码执行漏洞 | 严重 |
CVE-2020-17132 | Microsoft Exchange远程代码执行漏洞 | 严重 |
CVE-2020-17142 | Microsoft Exchange远程代码执行漏洞 | 严重 |
CVE-2020-17118 | Microsoft SharePoint远程代码执行漏洞 | 严重 |
CVE-2020-17121 | Microsoft SharePoint远程代码执行漏洞 | 严重 |
CVE-2020-17145 | Azure DevOps服务器和Team Foundation Services欺骗漏洞 | 高危 |
CVE-2020-17135 | Azure DevOps服务器欺骗漏洞 | 高危 |
CVE-2020-17002 | 用于C安全功能绕过的Azure SDK | 高危 |
CVE-2020-17160 | Azure Sphere安全功能绕过漏洞 | 高危 |
CVE-2020-17137 | DirectX图形内核权限提升漏洞 | 高危 |
CVE-2020-17147 | Dynamics CRM Webclient跨站点脚本漏洞 | 高危 |
CVE-2020-16996 | Kerberos安全功能绕过漏洞 | 高危 |
CVE-2020-17133 | Microsoft Dynamics Business Central / NAV信息披露 | 高危 |
CVE-2020-17126 | Microsoft Excel信息泄露漏洞 | 高危 |
CVE-2020-17122 | Microsoft Excel远程代码执行漏洞 | 高危 |
CVE-2020-17123 | Microsoft Excel远程代码执行漏洞 | 高危 |
CVE-2020-17125 | Microsoft Excel远程代码执行漏洞 | 高危 |
CVE-2020-17127 | Microsoft Excel远程代码执行漏洞 | 高危 |
CVE-2020-17128 | Microsoft Excel远程代码执行漏洞 | 高危 |
CVE-2020-17129 | Microsoft Excel远程代码执行漏洞 | 高危 |
CVE-2020-17130 | Microsoft Excel安全功能绕过漏洞 | 高危 |
CVE-2020-17143 | Microsoft Exchange信息泄露漏洞 | 高危 |
CVE-2020-17141 | Microsoft Exchange远程代码执行漏洞 | 高危 |
CVE-2020-17144 | Microsoft Exchange远程代码执行漏洞 | 高危 |
CVE-2020-17119 | Microsoft Outlook信息泄露漏洞 | 高危 |
CVE-2020-17124 | Microsoft PowerPoint远程代码执行漏洞 | 高危 |
CVE-2020-17089 | Microsoft SharePoint权限提升漏洞 | 高危 |
CVE-2020-17120 | Microsoft SharePoint信息泄露漏洞 | 高危 |
CVE-2020-17159 | Visual Studio Code Java扩展包远程代码执行漏洞 | 高危 |
CVE-2020-17150 | Visual Studio代码远程代码执行漏洞 | 高危 |
CVE-2020-17148 | Visual Studio Code远程开发扩展远程代码执行漏洞 | 高危 |
CVE-2020-17156 | Visual Studio远程代码执行漏洞 | 高危 |
CVE-2020-16958 | Windows备份引擎权限提升漏洞 | 高危 |
CVE-2020-16959 | Windows备份引擎权限提升漏洞 | 高危 |
CVE-2020-16960 | Windows备份引擎权限提升漏洞 | 高危 |
CVE-2020-16961 | Windows备份引擎权限提升漏洞 | 高危 |
CVE-2020-16962 | Windows备份引擎权限提升漏洞 | 高危 |
CVE-2020-16963 | Windows备份引擎权限提升漏洞 | 高危 |
CVE-2020-16964 | Windows备份引擎权限提升漏洞 | 高危 |
CVE-2020-17103 | Windows云文件小型筛选器驱动程序权限提升漏洞 | 高危 |
CVE-2020-17134 | Windows云文件小型筛选器驱动程序权限提升漏洞 | 高危 |
CVE-2020-17136 | Windows云文件小型筛选器驱动程序权限提升漏洞 | 高危 |
CVE-2020-17097 | Windows Digital Media Receiver权限提升漏洞 | 高危 |
CVE-2020-17094 | Windows错误报告信息泄露漏洞 | 高危 |
CVE-2020-17138 | Windows错误报告信息泄露漏洞 | 高危 |
CVE-2020-17098 | Windows GDI +信息泄露漏洞 | 高危 |
CVE-2020-17099 | Windows锁定屏幕安全功能绕过漏洞 | 高危 |
CVE-2020-17092 | Windows网络连接服务权限提升漏洞 | 高危 |
CVE-2020-17096 | Windows NTFS远程代码执行漏洞 | 高危 |
CVE-2020-17139 | Windows覆盖筛选器安全功能绕过漏洞 | 高危 |
CVE-2020-17140 | Windows SMB信息泄露漏洞 | 高危 |
CVE-2020-16971 | 适用于Java的Azure SDK安全功能绕过漏洞 | 中危 |
CVE-2020-17153 | Android Edge的Microsoft Edge漏洞 | 中危 |
CVE-2020-17115 | Microsoft SharePoint欺骗漏洞 | 中危 |
部分严重漏洞如下：
Hyper-V远程代码执行漏洞
Hyper-V中存在一个远程代码执行漏洞（CVE-2020-17095），其CVSS评分8.5。攻击者可以通过此漏洞将Hyper-V Guest OS权限提升到Hyper-V Host权限，最终远程执行代码。
Windows NTFS远程代码执行漏洞
Windows NTFS中存在一个远程代码执行漏洞（CVE-2020-17096），其CVSS评分7.5。具有SMBv2访问权限的攻击者可以通过发送恶意请求来利用此漏洞，最终可以在目标系统上远程执行代码。
Microsoft SharePoint 远程代码执行漏洞
Microsoft在SharePoint中修复了2个远程代码执行漏洞（CVE-2020-17121和CVE-2020-17118）。其中，CVE-2020-17118 CVSS评分8.1，CVE-2020-17121 CVSS评分8.8。
攻击者能够利用CVE-2020-17121获得访问权限，以创建站点并在kernel内远程执行代码。
Microsoft Exchange远程代码执行漏洞
Microsoft修复了Exchange中的5个远程代码执行漏洞（CVE-2020-17141、CVE-2020-17142、CVE-2020-17144、 CVE-2020-17117、CVE-2020-17132）。
其中，CVE-2020-17132是对cmdlet参数的验证不正确造成的，其CVSS评分9.1。Microsoft并未在此处提供攻击场景，但指出攻击者需要进行身份验证，且该漏洞的利用复杂性低。如果攻击者入侵了某人的邮箱，则可以控制整个Exchange服务器。
0x02 处置建议
目前Microsoft已经发布了安全更新，建议及时安装相关补丁。
（一） Windows update更新
自动更新：
Microsoft Update默认启用，当系统检测到可用更新时，将会自动下载更新并在下一次启动时安装。
手动更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，具体步骤为“控制面板”->“系统和安全”->“Windows更新”）
3、选择“检查更新”，等待系统将自动检查并下载可用更新。
4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
（二） 手动安装更新
微软官方下载相应补丁进行更新。
下载地址：
https://msrc.microsoft.com/update-guide/releaseNote/2020-Dec
0x03 参考链接
https://msrc.microsoft.com/update-guide/releaseNote/2020-Dec
https://threatpost.com/microsoft-patch-tuesday-holidays/162041/
https://www.darkreading.com/threat-intelligence/microsoft-fixes-58-cves-for-december-patch-tuesday/d/d-id/1339651?_mc=rss_x_drr_edt_aud_dr_x_x-rss-simple
0x04 时间线
2020-12-08 Microsoft发布安全更新
2020-12-09 VSRC发布安全通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号