【安全通告】微软发布12月补丁修复58个安全问题
2020-12-09
综述
微软于周二发布了12月安全更新补丁，修复了58个从简单的欺骗攻击到远程执行代码的安全问题，其中Critical级别漏洞9个，Important 级别漏洞47 个，Moderate级别漏洞2个。强烈建议所有用户尽快安装更新。
受影响产品涉及Azure DevOps、Azure SDK、Azure Sphere、Microsoft Dynamics、Microsoft Edge、Microsoft Exchange Server、Microsoft Graphics Component、Microsoft Office、Microsoft Office SharePoint、Microsoft Windows、Microsoft Windows DNS、Visual Studio、Windows Backup Engine、Windows Error Reporting、Windows Hyper-V、Windows Lock Screen、Windows Media以及Windows SMB。
Critical & Important漏洞概述
部分 Critical 及Important 漏洞描述如下：
Microsoft Exchange远程代码执行漏洞（CVE-2020-17132、CVE-2020-17142）
这两个漏洞是由程序对cmdlet参数的验证不正确造成，经过身份验证的攻击者利用该漏洞可在无需用户交互的情况下实现远程代码执行。
官方评级 Critical，CVSS:3.0 9.1/8.2
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H/E:P/RL:O/RC:C
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17132
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17142
Microsoft SharePoint远程代码执行漏洞（CVE-2020-17121）
该漏洞允许经过身份验证的攻击者在 SharePoint Web应用程序服务器上执行任意 .NET 代码。在其默认配置中，经过身份验证的SharePoint用户能够创建提供必要权限的站点，而这些权限恰好是发起攻击的先决条件。
官方评级 Critical，CVSS:3.0 8.8/7.7
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17121
Hyper-V远程代码执行漏洞（CVE-2020-17095）
能够在Hyper-V客户机上执行特制软件的攻击者，通过向Hyper-V宿主机发送vSMB数据包，可能在Hyper-V宿主机上执行任意代码。
官方评级 Critical，CVSS:3.0 8.5/7.4
CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17095
Microsoft Exchange 2010远程执行代码漏洞（CVE-2020-17144）
漏洞由程序对cmdlet参数的验证不正确造成，经过身份验证的攻击者利用该漏洞可实现远程代码执行。
官方评级 Important，CVSS:3.0 8.4/7.6
CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:H/E:P/RL:O/RC:C
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17144
Windows NTFS远程代码执行漏洞（CVE-2020-17096）
利用该漏洞，本地攻击者运行特制的应用程序可实现特权提升。能够通过SMBv2访问脆弱系统的远程攻击者可以通过网络发送特殊设计的请求，利用漏洞在目标系统上执行代码。
官方评级 Important，CVSS:3.0 7.5/6.5
CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17096
