微软补丁日:18个Windows安全公告,关键漏洞占一半

日期: 2017-03-14 作者:Michael Heller翻译:张程程 来源:TechTarget中国 英文

微软3月份发布的Windows安全公告版本比平常内容多是因为其涵盖了两个月的漏洞修复,不过安全专家们业已完成其中一个已知的零日漏洞的补丁处理,且至少有五个漏洞已得到修补并公开于众。

MS17-006、MS17-007和MS17-023是三个常规关键Windows漏洞,分别用于Internet Explorer(IE)、Microsoft Edge和Adobe Flash。本月的九个关键Windows安全公告涵盖这三个,这些漏洞可被远程代码执行(RCE)攻击者利用,应该立即对其进行修补。

Qualys漏洞实验室主任Amol Sarwate表示,公告中解决了三个已被公开披露的漏洞,其中一个(CVE-2017-0037)是上个月由Google Project Zero进行公开披露的。

Sarwate表示本月最高优先级的公告是MS17-013,也是针对一个由Google Project Zero公开的漏洞,是在微软的图形设备接口库发现了问题。波兰的一个项目安全研究员Mateusz Jurczyk称,他在2016年11月向微软披露了该问题,并表示以前的补丁无法完全纠正这些问题。

Sarwate表示,该补丁应是最高优先级,因为当用户访问特定网站或打开特定文档时,它将允许远程代码执行。Sarwate在一篇博文中写道:“CVE-2017-0005是一个零日漏洞问题,目前正被滥用,使用Silverlight作为攻击向量的漏洞利用工具包可以很快将该漏洞引入。”

Sarwate还极为重视MS17-012。MS17-012是一个关键的Windows安全公告,它解决了多个漏洞,包括在2月被公开披露的另一个漏洞。研究人员发布了一个因微软补丁的延迟而未得到解决的验证概念代码的拒绝服务问题。微软表示,当时这个漏洞的风险相对较低,不过现在其重要程度上升了。MS17-012中的关键问题涉及iSNS服务器中的内存损坏故障。

MS17-010对Windows Server消息块协议造成了影响。该公告怀疑其中一个漏洞是Shadow Brokers转储NSA黑客工具的一部分,并提出US-CERT的一个建议:要求企业禁用Windows SMB v1。

Tripwire的安全研究员Craig Young表示,虽然其评级并非“至关重要”,MS17-016仍值得特别注意。MS17-016是影响Microsoft IIS Web服务器的Windows安全公告。

“这是一个跨站脚本问题,将对网站运行在IIS上造成影响。反射的XSS攻击可能并不会被常规反病毒-XSS过滤器过滤掉,”Young表示。 “当受害者点击攻击者制作的链接时,攻击者可以利用这个漏洞破坏对HTTPS的保护。由于IIS在网上的盛行以及Web服务器经常被忽视,该问题变得更为复杂。

MS17-008、MS17-009和MS17-011分别解决了Windows Hyper-V、Windows PDF库和Microsoft Uniscribe中的漏洞。每个公告均涵盖RCE漏洞,企业应尽快修补。

MS17-014和MS17-015负责解决Microsoft Office和Exchange Server中的RCE漏洞;MS17-017和MS17-018涉及Windows内核和内核模式驱动程序中的特权提升;而MS17-019、MS17-020、MS17-021和MS17-022分别指向了Active Directory联合身份验证服务、Windows DVD Maker、Windows DirectShow和XML核心服务中的信息披露问题。使用这些产品的企业应及时打补丁。

我们一直都在努力坚持原创.......请不要一声不吭,就悄悄拿走。

我原创,你原创,我们的内容世界才会更加精彩!

【所有原创内容版权均属TechTarget,欢迎大家转发分享。但未经授权,严禁任何媒体(平面媒体、网络媒体、自媒体等)以及微信公众号复制、转载、摘编或以其他方式进行使用。】

微信公众号

TechTarget微信公众号二维码

TechTarget

官方微博

TechTarget中国官方微博二维码

TechTarget中国

电子邮件地址不会被公开。 必填项已用*标注

敬请读者发表评论,本站保留删除与本文无关和不雅评论的权力。

翻译

张程程
张程程

TechTarget中国编辑。专注报道企业级安全、网络领域的技术更迭和趋势变革,负责安全网站与网络网站的内容规划、组稿、原创和编辑。

相关推荐

  • Stuxnet多年之后:Windows Shell漏洞仍然肆虐

    Stuxnet利用的Windows Shell漏洞是需要企业仔细评估的漏洞之一。自被公开以来,Windows Shell漏洞已经包含在很多漏洞利用工具包中,并被很多攻击者利用,尽管微软在2010年发布了补丁,但这个问题仍然没有得到解决。

  • VMware VDP中的漏洞是如何工作的?

    VMware已经修补了vSphere Data Protection中的关键漏洞,是什么导致了这些VMware漏洞?除了打补丁之外,企业还可以做什么来缓解这些漏洞带来的风险?

  • 微软6月补丁日发布更多面向Windows XP的补丁

    微软在2017年6月份周二的补丁发布日提供了全新的Windows XP修复程序,以确保系统免受泄漏的NSA网络武器(如勒索软件WannaCry)的威胁。

  • 从WannaCry事件吸取教训:补丁管理需自动化

    更新升级软件是企业IT管理员的一项份内职责。为了提高打补丁的效率,符合合规要求,企业常需要购买补丁管理工具。补丁管理工具可实现更新的自动化,有助于保护企业基础架构和终端设备免受可能的安全威胁,并支持在线修复软件bug及增强功能……