【安全风险通告】DNS高危漏洞细节已公开,奇安信产品支持防护,微软3月补丁日多产品高危漏洞安全风险通告

  • A+
所属分类:安全新闻
【安全风险通告】DNS高危漏洞细节已公开,奇安信产品支持防护,微软3月补丁日多产品高危漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告有效解决方案。




通告摘要



本月,微软共发布了89个漏洞的补丁程序,包括微软于上周紧急修补的7个Exchange漏洞,如下所示。其中,4个漏洞已检测到在野利用。对此,奇安信CERT已发布《Microsoft Exchange多个高危漏洞安全风险通告第四次更新》。


风险通告

本月,微软共发布了89个漏洞的补丁程序,包括微软于上周紧急修补的7个Exchange漏洞,如下所示。其中,4个漏洞已检测到在野利用。对此,奇安信CERT已发布《Microsoft Exchange多个高危漏洞安全风险通告第四次更新》。


  • Exchange 服务端请求伪造漏洞(CVE-2021-26855,在野利用

  • Exchange 反序列化漏洞(CVE-2021-26857 ,在野利用

  • Exchange 任意文件写入漏洞(CVE-2021-26858、CVE-2021-27065,在野利用

  • Exchange 远程代码执行漏洞(CVE-2021-26412、CVE-2021-26854、CVE-2021-27078)


另外,Windows DNS Server、Windows Hyper-V、DirectWrite、HEVC Video Extensions、Azure Sphere Unsigned、Azure Virtual Machine、Internet Explorer、Git for Visual Studio、OpenType Font Parsing等产品中的10个漏洞被微软官方标记为紧急漏洞。经研判,以下6个漏洞(包括2个紧急漏洞和4个重要漏洞)影响较大,如下表所示:

CVE编号

风险等级

漏洞名称

利用可能

CVE-2021-26897

紧急

Windows DNS Server远程代码执行漏洞

N/N/M

CVE-2021-26411

紧急

Internet Explorer内存损坏漏洞

Y/Y/D

CVE-2021-26877

重要

Windows DNS Server远程代码执行漏洞

N/N/M

CVE-2021-27076

重要

Microsoft SharePoint Server远程代码执行漏洞

N/N/M

CVE-2021-26863

重要

Win32k权限提升漏洞

N/N/M

CVE-2021-27077

重要

Win32k权限提升漏洞

Y/N/L

注:“利用可能”字段包含三个维度(是否公开[Y/N]/是否在野利用[Y/N]/可利用性评估[D/M/L/U/NA])

简写

定义

翻译

Y

Yes

N

No

D

0-Exploitation   detected

0-检测到利用

M

1-Exploitation   more likely *

1-被利用可能性极大

L

2-Exploitation   less likely **

2-被利用可能性一般

U

3-Exploitation   unlikely ***

3-被利用可能性很小

NA

4-N/A

4-不适用


其中,CVE-2021-26411 Internet Explorer内存损坏漏洞已检测到在野攻击,以下6个漏洞被微软标记为 “Exploitation More Likely”,这代表这些漏洞更容易被利用:

 

  • CVE-2021-24095

  • CVE-2021-26897

  • CVE-2021-26863

  • CVE-2021-26868

  • CVE-2021-26877

  • CVE-2021-27076

 

鉴于这些漏洞危害较大,建议客户尽快安装更新补丁。



漏洞描述

本月,微软共发布了89个漏洞的补丁程序,包括微软于上周紧急修补的4个已遭利用的Exchange漏洞(CVE-2021-26855、CVE-2021-26857、CVE-2021-26858、CVE-2021-27065),其中,CVE-2021-26411 Internet Explorer内存损坏漏洞已检测到在野攻击,以下6个漏洞被微软标记为 “Exploitation More Likely”,这代表这些漏洞更容易被利用:
  • CVE-2021-24095

  • CVE-2021-26897

  • CVE-2021-26863

  • CVE-2021-26868

  • CVE-2021-26877

  • CVE-2021-27076


奇安信CERT对此进行研判,影响较大的6个漏洞(包括2个紧急漏洞和4个重要漏洞)的详细信息如下:


1CVE-2021-26897 Windows DNS Server 远程代码执行漏洞

漏洞名称

Windows DNS Server 远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2021-26897

公开状态

已公开

在野利用

未发现

漏洞描述

Windows   DNS Server存在远程代码执行漏洞,攻击者可通过向目标主机发送特制请求来利用此漏洞,成功利用此漏洞可在目标主机上以SYSTEM权限执行任意代码。启用安全动态更新可暂时缓解此漏洞,但攻击者依然可以通过加入域的计算机攻击启用了安全区域更新的DNS服务器。目前,该漏洞细节已公开。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26897


2CVE-2021-26411 Internet Explorer 内存损坏漏洞

漏洞名称

Internet Explorer内存损坏漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2021-26411

公开状态

已公开

在野利用

已发现

漏洞描述

Interne   Explorer在处理DOM对象时,存在一处double free漏洞,攻击者可通过诱导用户点击恶意链接或文件来利用此漏洞,此漏洞可导致远程代码执行,从而使攻击者控制用户系统。该漏洞细节已公开,并检测到在野利用。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26411


3CVE-2021-26877 Windows DNS Server 远程代码执行漏洞

漏洞名称

Windows DNS Server 远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

重要

漏洞ID

CVE-2021-26877

公开状态

已公开

在野利用

未发现

漏洞描述

Windows   DNS Server存在远程代码执行漏洞,攻击者可通过向目标主机发送特制请求来利用此漏洞,成功利用此漏洞可在目标主机上以SYSTEM权限执行任意代码。启用安全动态更新可暂时缓解此漏洞,但攻击者依然可以通过加入域的计算机攻击启用了安全区域更新的DNS服务器。目前,该漏洞细节已公开。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26877


4CVE-2021-27076 Microsoft SharePoint Server远程代码执行漏洞

漏洞名称

Microsoft SharePoint Server远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

重要

漏洞ID

CVE-2021-27076

公开状态

未公开

在野利用

未发现

漏洞描述

Microsoft   SharePoint Server存在远程代码执行漏洞。利用此漏洞,攻击者需要能够使用SharePoint服务器创建或修改网站。经过身份认证的攻击者可利用此漏洞获得远程代码执行。该漏洞被微软标记为“Exploitation   More Likely”。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-27076


5CVE-2021-26863 Win32k权限提升漏洞

漏洞名称

Win32k权限提升漏洞

漏洞类型

权限提升

风险等级

重要

漏洞ID

CVE-2021-26863

公开状态

未公开

在野利用

未发现

漏洞描述

Win32k存在权限提升漏洞,经过本地身份认证的攻击者可利用此漏洞在目标主机上以SYSTEM权限执行任意代码。该漏洞被微软标记为“Exploitation   More Likely”。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26863


6CVE-2021-26863 Win32k权限提升漏洞

漏洞名称

Win32k权限提升漏洞

漏洞类型

权限提升

风险等级

重要

漏洞ID

CVE-2021-26863

公开状态

已公开

在野利用

未发现

漏洞描述

Win32k存在权限提升漏洞,经过本地身份认证的攻击者可利用此漏洞在目标主机上以SYSTEM权限执行任意代码。目前,该漏洞细节已公开。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26863



风险等级

奇安信 CERT风险评级为:高危
风险等级:蓝色(一般事件)



处置建议

使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞,也可以通过奇安信天擎客户端一键更新修补相关漏洞。


也可以采用以下官方解决方案及缓解方案来防护此漏洞:

Windows自动更新

Windows系统默认启用 Microsoft Update,当检测到可用更新时,将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新:

1、点击“开始菜单”或按Windows快捷键,点击进入“设置”

2、选择“更新和安全”,进入“Windows更新”(Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”,步骤为“控制面板”-> “系统和安全”->“Windows更新”)

3、选择“检查更新”,等待系统将自动检查并下载可用更新

4、重启计算机,安装更新


系统重新启动后,可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新,可以点击该更新名称进入微软官方更新描述链接,点击最新的SSU名称并在新链接中点击“Microsoft 更新目录[http://www.catalog.update.microsoft.com/Search.aspx?q=KB4565554]”,然后在新链接中选择适用于目标系统的补丁进行下载并安装。


手动安装补丁

另外,对于不能自动更新的系统版本(如Windows 7、Windows Server 2008、Windows Server 2008 R2),可参考以下链接下载适用于该系统的3月补丁并安装:

https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar

如果无法立即安装更新,可参考以下步骤缓解漏洞:


  • Windows DNS Server 远程代码执行漏洞

启用安全动态更新可暂时缓解CVE-2021-26897和CVE-2021-26877漏洞,但攻击者依然可以通过加入域的计算机攻击启用了安全区域更新的DNS服务器。建议受影响的客户尽快安装安全补丁以修复这些漏洞。

【安全风险通告】DNS高危漏洞细节已公开,奇安信产品支持防护,微软3月补丁日多产品高危漏洞安全风险通告



产品线解决方案

奇安信天擎终端安全管理系统解决方案

奇安信天擎终端安全管理系统并且有漏洞修复相关模块的用户,可以将补丁库版本更新到:2021.03.10.1及以上版本,对内网终端进行补丁更新。

推荐采用自动化运维方案,如果控制中心可以连接互联网的用户场景,建议设置为自动从奇安信云端更新补丁库至2021.03.10.1版本。

控制中心补丁库更新方式:每天04:00-06:00自动升级,升级源为从互联网升级。

纯隔离网内控制中心不能访问互联网,不能下载补丁库和补丁文件,需使用离线升级工具定期导入补丁库和文件到控制中心。


奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击,请将规则版本升级到3.0.0309.12686或以上版本。规则ID及规则名称:

0x10020BEB,Microsoft Internet Explorer 远程代码执行漏洞(CVE-2021-26411); 0x5da6, Microsoft Windows DNS Server远程代码执行漏洞(CVE-2021-26877); 0x5da7, Microsoft Windows DNS Server远程代码执行漏洞(CVE-2021-26897);

奇安信天眼流量探针规则升级方法:系统配置->设备升级->规则升级,选择“网络升级”或“本地升级”。


奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器(NDS3000/5000/9000系列)产品,已具备该补丁日多个高危漏洞(含 Internet Explorer内存破坏漏洞(CVE-2021-26411 、

Windows DNS Server远程代码执行漏洞(CVE-2021-26877、

Windows DNS Server远程代码执行漏洞(CVE-2021-26897))的检测能力。对应的规则ID为:6234、51939、51944,建议用户尽快升级检测规则库至2103101244以后版本并启用该多个检测规则。



参考资料

[1]https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar


时间线

2021年3月10日,奇安信 CERT发布安全风险通告




【安全风险通告】DNS高危漏洞细节已公开,奇安信产品支持防护,微软3月补丁日多产品高危漏洞安全风险通告

奇安信CERT长期招募安全研究员

↓↓↓向下滑动图片了解更多↓↓↓


本文始发于微信公众号(奇安信 CERT):【安全风险通告】DNS高危漏洞细节已公开,奇安信产品支持防护,微软3月补丁日多产品高危漏洞安全风险通告

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: