Microsoft 5月多个安全漏洞
发布时间 2021-05-120x00 漏洞概述
2021年05月11日，Microsoft发布了5月份的安全更新，本次发布的安全更新共计修复了55个安全漏洞，其中有4个漏洞评级为严重，50个漏洞评级为高危，1个漏洞评级为中危，其中包括3个0 day漏洞。
0x01 漏洞详情
本次发布的安全更新涉及.NET Core & Visual Studio、Internet Explorer、Microsoft Exchange Server、Microsoft Office、Excel、SharePoint、Windows OLE、Windows SMB等多个产品和组件。Microsoft已经修复了以下3个0 day漏洞，目前这些漏洞尚未被在野利用。
.NET & Visual Studio权限提升漏洞（CVE-2021-31204）
此漏洞是.NET 和 Visual Studio中的权限提升漏洞，其CVSS评分7.3，目前此漏洞已经公开披露，但需用户交互才可利用。
Microsoft Exchange Server安全功能绕过漏洞（CVE-2021-31207）
此漏洞是2021年Pwn2Own竞赛中发现的Exchange Server漏洞之一，其CVSS评分6.6，目前已经公开披露。此漏洞无需用户交互即可利用，但利用复杂度和所需权限较高。
Common Utilities远程代码执行漏洞（CVE-2021-31200）
此漏洞是开源软件中通用实用程序（Neural Network Intelligence工具包）中的远程代码执行漏洞，其CVSS评分7.2，目前已经公开披露。此漏洞无需用户交互即可利用，但所需权限较高。
本次安全更新修复的4个严重漏洞为：
HTTP协议栈远程代码执行漏洞（CVE-2021-31166）
此漏洞是HTTP.sys中的RCE漏洞，其CVSS评分为9.8,未经身份验证的攻击者可以利用HTTP协议栈（HTTP.sys）向目标服务器发送恶意构建的数据包来处理数据包。此漏洞无需用户交互即可利用，且攻击复杂度和所需权限较低。此外，此漏洞还可导致蠕虫病毒。
脚本引擎内存损坏漏洞（CVE-2021-26419）
此漏洞是Internet Explorer中的脚本引擎内存损坏漏洞，其CVSS评分为7.5。此漏洞无需用户交互即可利用，但攻击复杂较高，目前尚未被利用。
Hyper-V远程代码执行漏洞（CVE-2021-28476）
此漏洞是Hyper-V中的远程代码执行漏洞，其CVSS评分为9.9，此漏洞无需用户交互即可利用，且攻击复杂度和所需权限较低，目前尚未被利用。
OLE Automation远程代码执行漏洞（CVE-2021-31194）
此漏洞存在于Windows OLE中，其CVSS评分为8.8, 此漏洞无需用户交互即可利用，且攻击复杂度和所需权限较低，目前尚未被利用。
此外，本次发布的安全更新还修复了4个Microsoft Exchange Server漏洞：
CVE-2021-31195：Microsoft Exchange Server远程代码执行漏洞（高危）
CVE-2021-31209：Microsoft Exchange Server欺骗漏洞（高危）
CVE-2021-31207：Microsoft Exchange Server安全功能绕过漏洞（中危）
CVE-2021-31198：Microsoft Exchange Server远程代码执行漏洞（高危）
0x02 处置建议
目前Microsoft已发布相关安全更新，建议尽快修复。
（一） Windows update更新
自动更新：
Microsoft Update默认启用，当系统检测到可用更新时，将会自动下载更新并在下一次启动时安装。
手动更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，具体步骤为“控制面板”->“系统和安全”->“Windows更新”）
3、选择“检查更新”，等待系统将自动检查并下载可用更新。
4、重启计算机，安装更新系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
（二） 手动安装更新
Microsoft官方下载相应补丁进行更新。
下载链接：
https://msrc.microsoft.com/update-guide/vulnerability
0x03 参考链接
https://msrc.microsoft.com/update-guide/vulnerability
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-28476
https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2021-patch-tuesday-fixes-55-flaws-3-zero-days/
0x04 时间线
2021-05-11 Microsoft发布安全更新
2021-05-12 VSRC发布安全通告
0x05 附录
CVSS评分标准官网：http://www.first.org/cvss/
京公网安备11010802024551号