微软补丁日安全通告|10月份

• 总体上来看，微软今年修复的漏洞数量降低到了87个。

• 10月份总计公布漏洞87个，趋势由之前缓慢上升突然下降到今年二月份左右的水平，比上月降低了42个漏洞。

• 除6月之外，其余月份的严重等级漏洞和总漏洞数保持同趋势（增加/降低）。

• 千里目实验室在综合考虑往年微软公布漏洞数量和今年的特殊情况，初步估计微软在11月份公布的漏洞数量可能维持在同等数量。严重类型漏洞数量应该会维持在10个左右。

• 从侧面看待数据问题，2020年漏洞公布数量和往年类似，十月份数量大幅降低，结束了长达七个月的高漏洞披露量的趋势。

• 从漏洞总数来看，今年出现了明显增长。微软在2020年已经连续7个月发布110个以上的CVE补丁程序，这是微软有史以来连续发布CVE安全补丁数量最多的一年。到十月终于下降到110以下，但仍然比往年要多很多。

• 从漏洞的危险等级来看，“important”等级漏洞数量明显增长。单个的重点高可利用漏洞并未出现过度增长，但单个具有普通影响力的漏洞明显增多，这加大了漏洞利用链形成的风险。这种趋势，对于APT组织或成熟的攻击组织来说是一个利好消息，大幅度增加的普通影响力的漏洞提供了更多的攻击路径和攻击手段组合的选择。

• 从漏洞类型来看，权限提升漏洞(EoP)大幅增加。信息泄露漏洞(Info)小幅增加，远程代码执行漏洞(RCE)和相较于2017年有所降低，相较于2018和2019年有增长。同样，信息泄露漏洞的增多有可能会扩大攻击界面和攻击路径。权限提升漏洞(EoP)大幅增加，虽然影响力不如远程代码执行漏洞，但是权限提升漏洞在内网和局域网等场景下有很大的发挥空间，需要引起高度重视，尤其是在配合社工手段的前提下，甚至可以直接接管整个局域网并进行进一步扩展攻击。欺骗类型漏洞(spoof)出现明显增加，说明有更多的研究者开始关注逻辑类问题，这类问题基本符合产品自身的验证机制，所以在防御上比较困难。而一旦成功利用spoof类型漏洞，大多可以直接实现代码执行，需要引起重视。

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16899

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16951

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16952

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16941

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16942

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16948

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16950

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16953

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16922