10 月份，Microsoft 发布了 103 个漏洞补丁，解决了 Microsoft Windows 和 Windows 组件、Exchange Server、Office 和 Office组件、ASP.NET Core 和 Visual Studio、Azure、Microsoft Dynamics 和 Skype for Business相关的问题。
在本次公布的 103 个漏洞中，13 个被评为严重，90 个被评为重要，其中 2 个漏洞被标记为“已受攻击”。
在本月的更新中，ZDI 列出了 4 个值得关注的漏洞，分别是 CVE-2023-36563、CVE-2023-41763、CVE-2023-35349、CVE-2013-36434。
CVSS基本分数：
| CVE-2023-36563 | 6.5 |
| CVE-2023-41763 | 5.3 |
| CVE-2023-35349 | 9.8 |
| CVE-2023-36434 | 9.8 |
CVE-2023-36563：Microsoft WordPad 信息泄露漏洞
CVE-2023-35349：Windows 消息队列远程代码执行漏洞
Microsoft 消息队列存在远程代码执行漏洞，未经身份验证的远程攻击者可利用此漏洞在目标服务器上执行代码。值得注意的是，需要启用作为 Windows 组件的 Windows 消息队列服务，攻击者才能够利用此漏洞入侵系统。对于企业而言，可以检查是否有名为“消息队列”的服务正在运行，以及TCP端口 1801 是否在机器上监听来判断是否启用了该服务，若有启用，应尽快更新该补丁。
CVE-2023-36434：Windows IIS 服务器特权提升漏洞
Windows IIS 存在特权提升漏洞，成功利用此漏洞的攻击者能够以其他用户的身份成功登录。在基于网络的攻击中，攻击者可以暴力破解用户账号密码，使其以该用户身份登录。因此，对于使用了 Windows IIS 服务的企业，建议加强密码强度并及时更新补丁。
另外，对于不能自动更新的系统版本，可参考以下链接下载适用于该系统的 10 月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2023-Oct
https://www.zerodayinitiative.com/blog/2023/10/10/the-october-2023-security-update-review
https://msrc.microsoft.com/update-guide/vulnerability
白盾，实时阻断有害攻击
原文始发于微信公众号（网新安服）：Microsoft 10 月 CVE 漏洞预警
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论