微软十二月补丁星期二修复了严重的Outlook远程代码执行漏洞 媒体

微软发布关键补丁修复Outlook等漏洞

关键要点

微软在12月补丁星期二发布了四个关键性修复，解决Outlook、Microsoft Power Platform及MSHTML组件中的漏洞。最严重的漏洞为CVSS评分96的欺骗漏洞，可能导致恶意代码执行。此次发布的补丁数量较少，且无已知的实际利用案例。

微软于上周二发布了四项关键修复，针对Outlook、Microsoft Power Platform以及一个名为MSHTML的Windows开发组件，这个组件用于为操作系统添加网页浏览功能。此次更新的最严重漏洞是一个被称为Microsoft Power Platform Connector欺骗漏洞的 欺骗漏洞，其CVSS评级为96，可能使Windows系统通过一个精心构造的链接执行恶意代码。此漏洞可被远程执行，复杂性较低，无需预先的网络用户权限。

“这一问题的重要性使得微软在上个月就已通知受影响的客户采取必要的防护措施。”Sophos XOps高级威胁研究员安吉拉冈恩表示。

微软修复八月份的AMD处理器漏洞

微软修复的另一个先前披露的漏洞是一个导致除零错误的漏洞，此漏洞影响某些AMD处理器，可能导致信息泄露。AMD在八月份提供了该漏洞的缓解指导，该漏洞的追踪编号为CVE202320588，其CVSS评分为55。

AMD表示并未发现该漏洞有被利用的案例，并认为其潜在影响较低，因为利用该漏洞需要本地访问权限。

Rapid7的首席软件工程师亚当巴尼特指出，微软已在所有受支持的Windows版本中修复了AMD漏洞的操作系统层面，即使是早至Windows Server 2008的Azure托管资产也参与了扩展安全更新ESU计划。

本月解决的远程代码执行漏洞

12月补丁星期二还包括两个严重的远程代码执行RCE漏洞CVE202335630 和 CVE202335641。这两个漏洞与Windows的Internet连接共享ICS功能相关，严重性评分均为88。

“2023年9月曾出现一个类似的ICS漏洞，导致ICS服务器的SYSTEM上下文中发生RCE。在所有案例中，减轻因素是攻击需要从与ICS服务器相同的网络段发起。”巴尼特表示。

黑洞加速器下载正版

巴尼特指出，“看起来本月的ICS漏洞不太可能针对未运行ICS的目标进行利用，尽管微软并未明确否认这一可能性。”

Outlook预览窗格中的RCE攻击漏洞

本月，微软修复了一个影响Outlook的关键漏洞，影响微软的MSHTML组件。这个漏洞的追踪编号为CVE202335628，其CVSS评分为81，允许威胁行为者发送特制的电子邮件，可能在邮件被接收并处理后自动触发攻击，在用户查看之前即执行。

“好消息是，根据微软的数据，这个漏洞依赖于一些复杂的内存塑形技术来工作。”冈恩表示。

尽管如此，微软认为这个漏洞会影响Windows 10及2012 R2之后的服务器操作系统，并且它是11个最有可能在下一个30天内被利用的漏洞之一。

2023年微软漏洞修复的告别

本月相对较低的补丁数量去年12月微软发布了49个补丁，加上本次补丁星期二没有新的零日和被利用的漏洞，将让繁忙的安全团队松一口气。

“这无疑会让假期补丁月变得不那么紧张。”SANS科技学院研究院院长约翰内斯乌尔里希表示，他列出了每个新修复漏洞的严重性，以及应用到微软Edge浏览器的五个Chromium补丁的详细信息。Zero Day Initiative的达斯丁查尔兹也指出，本次12月的发布与