漏洞预警 | 2023年10月微软安全更新通告

0x00 漏洞概述

2023年10月10日，微软发布了2023年10月安全更新，修复了103个安全问题，涉及组件包括：

• Windows RDP

• Windows 消息队列

• Azure SDK

• Microsoft Dynamics

• SQL Server

• Azure 实时操作系统

• Azure

• Windows IIS

• Microsoft QUIC

• Windows HTML 平台

• Windows TCP/IP

• Azure DevOps

• Microsoft WordPad

• Microsoft Windows 搜索组件

• Microsoft Office

• Microsoft 通用数据模型 SDK

• Windows 部署服务

• Windows Kernel

• Microsoft WDAC OLE DB provider for SQL

• Windows Mark of the Web (MOTW)

• Windows 活动模板库

• Microsoft Graphics Component

• Windows 远程过程调用

• Windows 命名管道文件系统

• Windows 复原文件系统 (ReFS)

• Windows Microsoft DirectMusic

• Windows DHCP 服务器

• Windows 安装文件清理

• Windows AllJoyn API

• Microsoft Windows Media Foundation

• Windows Runtime C++ 模板库

• Windows 通用日志文件系统驱动程序

• Windows TPM

• Windows 虚拟受信任的平台模块

• Windows 混合现实开发工具

• Windows 错误报告

• Active Directory 域服务

• Windows 容器管理服务

• Windows 电源管理服务

• Windows NT OS 内核

• Windows IKE 扩展

• Windows Win32K

• Microsoft Exchange Server

• Skype for Business

• Windows 客户端/服务器运行时子系统

• Windows 第二层隧道协议

• 客户端服务器运行时子系统 (CSRSS)

0x01 重要漏洞简述

CVE-2023-36434

组件：Windows、Windows Server

漏洞类型：权限提升

影响：用户权限提升

简述：该漏洞存在于Windows IIS服务器中，成功利用此漏洞的攻击者可以作为另一个用户登录到受影响的IIS服务器。

详情：https://msrc.microsoft.com/update-guide/zh-cn/vulnerability/CVE-2023-36434

CVE-2023-35349

组件：Windows Server、Windows

漏洞类型：程序逻辑错误

影响：远程代码执行

简述：该漏洞存在于微软消息队列服务中，是一个远程代码执行漏洞。未经身份验证的远程攻击者可利用该漏洞，在没有用户交互的情况下在服务级别执行任意代码。

详情：https://msrc.microsoft.com/update-guide/zh-cn/vulnerability/CVE-2023-35349

CVE-2023-36563

组件：Windows、Windows Server

漏洞类型：信息泄漏

影响：敏感数据窃取

简述：该漏洞存在于微软写字板中，是一个信息泄露漏洞。利用该漏洞需要用户交互，成功利用该漏洞可导致NTLM哈希的泄露。目前该漏洞已出现在野利用。

详情：https://msrc.microsoft.com/update-guide/zh-cn/vulnerability/CVE-2023-36563

CVE-2023-41763

组件：Skype for Business Server

漏洞类型：信息泄漏

影响：敏感数据窃取

简述：该漏洞存在于Skype for Business中，是一个特权提升漏洞。攻击者可以利用该漏洞对受影响的Skype for Business服务器进行恶意调用，从而导致服务器将HTTP请求解析为任意地址。攻击者进而可能包括访问内部网络的敏感信息。

详情：https://msrc.microsoft.com/update-guide/zh-cn/vulnerability/CVE-2023-41763

0x02 修复建议

微软官方已针对受支持的产品版本发布了安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：

https://msrc.microsoft.com/update-guide/releaseNote/2023-Oct

查看更新情况

右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。

原文始发于微信公众号（浅安安全）：漏洞预警 | 2023年10月微软安全更新通告