微軟這次修復了 50 個漏洞,有 14 個關鍵漏洞
雷鋒網按,在最近一次二月份的微軟周二補丁日中,軟體巨頭一共解決了 50 個會影響 Windows 系統、Office套件、瀏覽器和公司旗下其他產品的漏洞。其中,有 14 個被打上了「關鍵」標籤,34 個被評為「重要」,只有 2 個的嚴重程度較為溫和。
在 14 個關鍵漏洞中,有 Edge 瀏覽器的信息披露問題,也有 Windows StructuredQuery 部件的遠程代碼執行漏洞。此外,Outlook、Edge 和 IE 瀏覽器都存在內存崩潰問題。
要說這次周二補丁日解決的最嚴重漏洞,非影響 Outlook 的內存崩潰問題(代號 CVE-2018-0852)莫屬。如果不對該漏洞進行修復,黑客就有可能通過它在目標機器上執行遠程代碼。
「當軟體無法有效處理內存中的對象時,微軟 Outlook 中會出現一個遠程代碼執行漏洞。只要黑客能成功利用這一漏洞,就能任意在受攻擊電腦上執行代碼。」微軟在安全公告上寫道。「如果現有用戶使用管理員許可權登陸,黑客更是能控制整個受攻擊的系統,隨意在電腦上安裝程序,瀏覽、更改或刪除數據,甚至創建擁有所有用戶許可權的新賬戶。系統中設置的用戶許可權越少,受影響就越小。」
想要觸發該漏洞,黑客可以誘騙受害者打開一個專門製作的消息附件或在 Outlook 預覽界面進行瀏覽。是的你沒看錯,在 Outlook 里看看郵件你可能就會中招。
「要利用該漏洞,黑客需要讓用戶通過被感染的 Outlook 軟體打開一個特殊的文檔。如果是通過 email 進行攻擊,攻擊者可能會給用戶發送一個特製文檔並說服他們打開該文檔。如果要發動基於網路的攻擊,黑客則會專門開個網站(或者利用被攻破的網站),該網站上則埋了特別設計的『地雷』,用戶一點就中招。不過,黑客無法強迫用戶查看受控內容,他們只能說服用戶點擊。」微軟解釋道。
另一個會影響 Outlook 的漏洞是代號為 CVE-2018-0850 的許可權升級問題。該漏洞被微軟定為「重要」級別,黑客也可通過發送特製郵件來攻擊 Outlook 用戶。這個漏洞對黑客來說更是相當順手,因為用戶只要收到郵件它就會觸發。
「成功利用該漏洞的攻擊者能強迫 Outlook 載入本地或遠程信息存儲器(通過伺服器信息塊)。」微軟在安全公告上警告道。
「想要利用漏洞,攻擊者只需發送一封特製郵件。隨後 Outlook 會試圖打開 email 中一個預先配置的信息存儲器。」
微軟修復的另一個關鍵漏洞是影響 Edge 瀏覽器的信息披露漏洞(CVE-2018-0763)。該漏洞的產生是因為微軟 Edge 瀏覽器沒能正確的處理內存中的對象。
攻擊者可以通過觸發該漏洞獲得敏感信息,以攻入目標機器。不過,在這裡攻擊者需要用戶的交互。
「若 Edge 瀏覽器沒能正確處理內存中的對象,信息披露漏洞就會出現。利用了該漏洞的攻擊者能獲得相關敏感信息,以便進一步滲透用戶的系統。」微軟在公告中寫道。
雷鋒網了解到,下一個漏洞早已盡人皆知,其代號為 CVE-2018-0771,可影響微軟 Edge 瀏覽器。
「當 Edge 錯誤的處理了不同來歷的請求,一個安全特性就會繞過現有漏洞。該漏洞讓 Edge 能繞過同源政策(SOP)的限制,允許那些本該被無視的請求。利用了該漏洞的攻擊者能迫使瀏覽器發送受限數據。」微軟解釋道。
總之,看到這篇文章的用戶們,還是趕緊打上安全補丁吧。
雷鋒網Via. Security Affairs
※GANs 造假術領銜,看 2018 最具落地潛力的 9大AI 技術趨勢
※上海某公立醫院HIS系統被黑,被勒索2億「以太幣」
TAG:雷鋒網 |