【漏洞通告】Microsoft 9月多个安全漏洞

发布时间 2021-09-15

0x00 漏洞概述

2021年9月14日,Microsoft发布了9月份的安全更新,本次发布的安全更新修复了包括2个0 day漏洞在内的60个安全漏洞(包括Microsoft Edge 为86个漏洞),其中有3个漏洞评级为严重,56个漏洞评级为高危,1个漏洞评级为中危。

 

0x01 漏洞详情

image.png

本次发布的安全更新涉及Azure、Microsoft Edge、Microsoft Office、Microsoft Windows DNS、Visual Studio、Windows Installer、Windows SMB、Windows Kernel和Windows Update等多个产品和组件。

在86个漏洞中(包括Microsoft Edge),27个为权限提升漏洞,2个为安全功能绕过漏洞,16个为远程代码执行漏洞,11个为信息泄露漏洞,1个为拒绝服务漏洞,以及8个欺骗漏洞。

Microsoft本次修复的2个0 day漏洞包括:

l  Windows DNS 权限提升漏洞(CVE-2021-36968)

该漏洞的CVSSv3评分为7.8,攻击复杂度和所需权限低,且无需用户交互即可被本地利用。目前此漏洞已公开披露,但未被积极利用。

l  Microsoft MSHTML 远程代码执行漏洞(CVE-2021-40444)

该漏洞为MSHTML (Internet Explorer 和 Office 使用的组件) 中影响Microsoft Windows 的远程代码执行漏洞,该漏洞已检测到在野利用,目前已被修复。Microsoft已于9月7日提前发布公告,详情请参考Microsoft官方公告或VSRC发布的安全通告。

 

3个评级为严重的漏洞包括:

l  Azure Open Management Infrastructure远程代码执行漏洞(CVE-2021-38647)

该漏洞的CVSSv3评分为9.8,无需用户交互即可远程利用。Microsoft的可利用性评估将其评估为不太可能被利用。

l  Windows 脚本引擎内存损坏漏洞(CVE-2021-26435)

该漏洞可导致Windows 脚本引擎中的远程代码执行,但利用此漏洞需要攻击者诱使用户单击链接,然后打开恶意文件,该漏洞的CVSSv3 评分为8.8。

l  Windows WLAN AutoConfig 服务远程代码执行漏洞(CVE-2021-36965)

该漏洞无需用户交互,且攻击复杂度低,其CVSSv3评分为 8.8。

 

此外,本次修复的关键漏洞(应优先修复)还包括:

l  Windows Common Log File System Driver权限提升漏洞(CVE-2021-38633、  CVE-2021-36963)

这2个漏洞的CVSSv3评分均为 7.8,且无需用户交互即可被本地利用,攻击者可以利用这些漏洞来提升权限并更改目标系统。Microsoft的可利用性评估将这2个漏洞评估为更有可能被利用。

l  Windows Print Spooler 权限提升漏洞(CVE-2021-38671)

该漏洞的CVSSv3评分为 7.8,无需用户交互即可被本地利用。Microsoft的可利用性评估将其评估为更有可能被利用。

 

0x02 处置建议

目前Microsoft已发布相关安全更新,鉴于漏洞的严重性,建议受影响的用户尽快修复。

(一) Windows update更新

自动更新:

Microsoft Update默认启用,当系统检测到可用更新时,将会自动下载更新并在下一次启动时安装。

 

手动更新:

1、点击“开始菜单”或按Windows快捷键,点击进入“设置”

2、选择“更新和安全”,进入“Windows更新”(Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”,具体步骤为“控制面板”->“系统和安全”->“Windows更新”)

3、选择“检查更新”,等待系统将自动检查并下载可用更新。

4、重启计算机,安装更新系统重新启动后,可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新,可以点击该更新名称进入微软官方更新描述链接,点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”,然后在新链接中选择适用于目标系统的补丁进行下载并安装。

 

(二) 手动安装更新

Microsoft官方下载相应补丁进行更新。

下载链接:

https://msrc.microsoft.com/update-guide/vulnerability

 

0x03 参考链接

https://msrc.microsoft.com/update-guide/vulnerability

https://mp.weixin.qq.com/s/z3uAX0Z5VUM-VlYVAW_kPg

https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2021-patch-tuesday-fixes-2-zero-days-60-flaws/

https://blog.qualys.com/vulnerabilities-threat-research/2021/09/14/microsoft-and-adobe-patch-tuesday-september-2021-microsoft-60-vulnerabilities-with-3-critical-adobe-61-vulnerabilities

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-09-15

首次发布


0x05 文档附录

CNVD:www.cnvd.org.cn

CNNVD:www.cnnvd.org.cn

CVE:cve.mitre.org

CVSS:www.first.org

NVD:nvd.nist.gov

 

0x06 关于我们

关注以下公众号,获取更多资讯:

         image.png