【安全风险通告】微软8月补丁日多产品高危漏洞安全风险通告

  • A+
所属分类:安全漏洞
【安全风险通告】微软8月补丁日多产品高危漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告有效解决方案。




通告摘要



本月,微软共发布了47个漏洞的补丁程序,其中,Windows TCP/IP、Windows Print Spooler、Remote Desktop Client、Windows MSHTML Platform、Windows Graphics Component、Windows Services for NFS ONCRPC XDR Driver、Scripting Engine等产品中的7个漏洞被微软官方标记为紧急漏洞。其中10个漏洞(包括5个紧急漏洞和5个重要漏洞)值得关注。


风险通告

本月,微软共发布了47个漏洞的补丁程序,其中,Windows TCP/IP、Windows Print Spooler、Remote Desktop Client、Windows MSHTML Platform、Windows Graphics Component、Windows Services for NFS ONCRPC XDR Driver、Scripting Engine等产品中的7个漏洞被微软官方标记为紧急漏洞。以下10个漏洞(包括5个紧急漏洞和5个重要漏洞)值得关注,如下表所示:

CVE编号
风险等级
漏洞名称
利用可能
CVE-2021-26432
紧急
Windows Services for NFS   ONCRPC XDR Driver 远程代码执行漏洞
N/N/M
CVE-2021-34535
紧急
远程桌面客户端远程执行代码漏洞
N/N/M
CVE-2021-36936
紧急
Windows 打印后台处理程序远程执行代码漏洞
Y/N/M
CVE-2021-26424
紧急
Windows   TCP/IP 远程执行代码漏洞
N/N/M
CVE-2021-34480
紧急
脚本引擎内存损坏漏洞
N/N/M
CVE-2021-36934
重要
Windows特权提升漏洞
Y/N/M
CVE-2021-34481
重要
Windows 打印后台处理服务程序远程代码执行漏洞
Y/N/M
CVE-2021-36948
重要
Windows   Update Medic 服务权限提升漏洞
N/Y/D
CVE-2021-36947
重要
Windows 打印后台处理程序远程执行代码漏洞
N/N/M
CVE-2021-36942
重要
Windows LSA 欺骗漏洞
Y/N/M


注:“利用可能”字段包含三个维度(是否公开[Y/N]/是否在野利用[Y/N]/可利用性评估[D/M/L/U/NA])

简写

定义

翻译

Y

Yes

N

No

D

0-Exploitation   detected

0-检测到利用

M

1-Exploitation   more likely *

1-被利用可能性极大

L

2-Exploitation   less likely **

2-被利用可能性一般

U

3-Exploitation   unlikely ***

3-被利用可能性很小

NA

4-N/A

4-不适用


其中,CVE-2021-36948 Windows Update Medic Service权限提升漏洞已检测到被攻击利用,另外4个漏洞的细节已公开披露。其中,CVE-2021-34481、CVE-2021-36934两个漏洞信息在上月公开,已于本月修补(奇安信CERT针对这两个漏洞已发过通告,详情请查阅公众号),如下所示:

  • CVE-2021-36936  Windows Print Spooler 远程代码执行漏洞(Y/N/M

  • CVE-2021-34481  Windows Print Spooler 远程代码执行漏洞(Y/N/M

  • CVE-2021-36942  Windows LSA 欺骗漏洞(Y/N/M

  • CVE-2021-36948  Windows Update Medic Service权限提升漏洞(N/Y/D

  • CVE-2021-36934  Windows 权限提升漏洞(Y/N/M


以下9个漏洞被微软标记为“Exploitation More Likely”,这代表这些漏洞更容易被利用:

  • CVE-2021-26424  Windows TCP/IP 远程代码执行漏洞(N/N/M

  • CVE-2021-36936  Windows Print Spooler 远程代码执行漏洞(Y/N/M

  • CVE-2021-34481  Windows Print Spooler 远程代码执行漏洞(Y/N/M

  • CVE-2021-36947  Windows Print Spooler 远程代码执行漏洞(N/N/M

  • CVE-2021-34535  Remote Desktop Client 远程代码执行漏洞(N/N/M

  • CVE-2021-26432  Windows Services for NFS ONCRPC XDR Driver 远程代码执行漏洞(N/N/M

  • CVE-2021-36942  Windows LSA 欺骗漏洞(Y/N/M

  • CVE-2021-34480  Scripting Engine 内存损坏漏洞(N/N/M

  • CVE-2021-36934  Windows 权限提升漏洞(Y/N/M


以下漏洞由奇安信代码安全实验室发现并提交,包括:CVE-2021-36933、CVE-2021-36932、CVE-2021-36926、CVE-2021-26433、CVE-2021-26432、CVE-2021-26424。鉴于这些漏洞危害较大,建议客户尽快安装更新补丁。

【安全风险通告】微软8月补丁日多产品高危漏洞安全风险通告



漏洞描述

本月,微软共发布了47个漏洞的补丁程序,以下10个漏洞被微软标记为“Exploitation Detected”或“Exploitation More Likely”,这代表这些漏洞更容易被利用:
  • CVE-2021-36948  Windows Update Medic Service权限提升漏洞(N/Y/D

  • CVE-2021-26424  Windows TCP/IP 远程代码执行漏洞(N/N/M

  • CVE-2021-36936  Windows Print Spooler 远程代码执行漏洞(Y/N/M

  • CVE-2021-34481  Windows Print Spooler 远程代码执行漏洞(Y/N/M

  • CVE-2021-36947  Windows Print Spooler 远程代码执行漏洞(N/N/M

  • CVE-2021-34535  Remote Desktop Client 远程代码执行漏洞(N/N/M

  • CVE-2021-26432  Windows Services for NFS ONCRPC XDR Driver 远程代码执行漏洞(N/N/M

  • CVE-2021-36942  Windows LSA 欺骗漏洞(Y/N/M

  • CVE-2021-34480  Scripting Engine 内存损坏漏洞(N/N/M

  • CVE-2021-36934  Windows 权限提升漏洞(Y/N/M)


奇安信CERT对此进行研判,影响较大的10个漏洞(包括5个紧急漏洞和5个重要漏洞)的详细信息如下:

1CVE-2021-26432 Windows Services for NFS ONCRPC XDR Driver远程代码执行漏洞

漏洞名称

Windows Services for NFS ONCRPC XDR Driver远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2021-26432

公开状态

未公开

在野利用

未发现

漏洞描述

NFS Windows Services的RPC调用(RPCXDR)内核驱动中存在漏洞,未经身份验证的远程攻击者可以远程利用该漏洞在目标主机上执行代码,利用该漏洞无需用户交互。

参考链接

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26432


2CVE-2021-34535 远程桌面客户端远程执行代码漏洞

漏洞名称

远程桌面客户端远程执行代码漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2021-34535

公开状态

未公开

在野利用

未发现

漏洞描述

Windows远程桌面客户端存在远程代码执行漏洞,利用该漏洞不需要经过身份验证,但需要和用户交互,利用该漏洞可以使攻击者使用与用户相同的方式进行身份验证,获得权限。

参考链接

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34535


3CVE-2021-36947 Windows 打印后台处理程序远程执行代码漏洞

漏洞名称

Windows 打印后台处理程序远程执行代码漏洞

漏洞类型

远程代码执行

风险等级

重要

漏洞ID

CVE-2021-36947

公开状态

未公开

在野利用

未发现

漏洞描述

Windows打印后台处理程序中存在远程代码执行漏洞,拥有低权限的攻击者可以在不需要用户交互的情况下,在目标主机远程执行代码。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-36947


4CVE-2021-36942  Windows LSA 欺骗漏洞

漏洞名称

Windows LSA 欺骗漏洞

漏洞类型

信息泄露

风险等级

重要

漏洞ID

CVE-2021-36942

公开状态

已公开

在野利用

未发现

漏洞描述

Windows LSA存在欺骗漏洞,该漏洞允许攻击者从域控或者其他主机窃取NTLM哈希,利用该漏洞不需要经过身份验证,也不需要用户交互。

参考链接

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36942


5CVE-2021-36936  Windows 打印后台处理程序远程执行代码漏洞

漏洞名称

Windows打印后台处理程序远程执行代码漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2021-36936

公开状态

已公开

在野利用

未发现

漏洞描述

Windows打印后台处理程序中存在远程代码执行漏洞,该漏洞允许有低权限的攻击者在无需用户交互的情况下在目标主机远程执行代码,目前该漏洞详情已公开披露。

参考链接

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36936


6CVE-2021-26424 Windows TCP/IP 远程执行代码漏洞

漏洞名称

Windows TCP/IP 远程执行代码漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2021-26424

公开状态

未公开

在野利用

未发现

漏洞描述

Windows TCP/IP 存在远程代码执行漏洞,该漏洞源于 tcpip.sys 在处理通过 IPv6 协议发送的 TCP/IP 数据包时存在边界错误。远程 Hyper-V 来宾可以向受影响的 Hyper-V 主机发送特制的 IPv6 ping,触发内存损坏并在系统上执行任意代码。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-26424


7CVE-2021-34480 脚本引擎内存损坏漏洞

漏洞名称

脚本引擎内存损坏漏洞

漏洞类型

内存损坏漏洞

风险等级

紧急

漏洞ID

CVE-2021-34480

公开状态

未公开

在野利用

未发现

漏洞描述

Windows脚本引擎存在内存损坏漏洞,该漏洞的存在是由于脚本引擎中的边界错误。远程攻击者可以欺骗受害者打开特制文件或访问恶意网站,触发内存损坏并在目标系统上执行任意代码。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-34480


8CVE-2021-36934 Windows特权提升漏洞

漏洞名称

Windows 特权提升漏洞

漏洞类型

特权提升

风险等级

重要

漏洞ID

CVE-2021-36934

公开状态

已公开

在野利用

未发现

漏洞描述

Windows对多个系统文件(包括安全帐户管理器 (SAM) 数据库)的访问控制列表 (ACL) 过于宽松,存在特权提升漏洞,成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-36934


9CVE-2021-34481 Windows 打印后台处理服务程序远程代码执行漏洞

漏洞名称

Windows 打印后台处理服务程序远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

重要

漏洞ID

CVE-2021-34481

公开状态

已公开

在野利用

未发现

漏洞描述

Windows   Print Spooler 服务不正确地执行特权文件操作时,存在远程执行代码漏洞,成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序;查看、更改或删除数据;或创建具有完全用户权限的新帐户。

值得注意的是,该漏洞(本地权限提升)细节已于上月公开披露,目前微软已确认该漏洞可远程代码执行。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-34481


10CVE-2021-36948 Windows Update Medic 服务权限提升漏洞

漏洞名称

Windows Update Medic 服务权限提升漏洞

漏洞类型

权限提升

风险等级

重要

漏洞ID

CVE-2021-36948

公开状态

未公开

在野利用

已发现

漏洞描述

Microsoft Update Medic 存在权限提升漏洞,该漏洞的存在是由于 Windows Update Medic 服务中的边界错误。本地用户可以运行特制的程序来执行具有提升权限的任意代码。

参考链接

https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-36948



风险等级

奇安信 CERT风险评级为:高危
风险等级:蓝色(一般事件)



处置建议

使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞,也可以通过奇安信天擎客户端一键更新修补相关漏洞。


也可以采用以下官方解决方案及缓解方案来防护此漏洞:

Windows自动更新

Windows系统默认启用 Microsoft Update,当检测到可用更新时,将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新:

1、点击“开始菜单”或按Windows快捷键,点击进入“设置”

2、选择“更新和安全”,进入“Windows更新”(Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”,步骤为“控制面板”-> “系统和安全”->“Windows更新”)

3、选择“检查更新”,等待系统将自动检查并下载可用更新

4、重启计算机,安装更新


系统重新启动后,可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新,可以点击该更新名称进入微软官方更新描述链接,点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”,然后在新链接中选择适用于目标系统的补丁进行下载并安装。


手动安装补丁

另外,对于不能自动更新的系统版本(如Windows 7、Windows Server 2008、Windows Server 2008 R2),可参考以下链接下载适用于该系统的8月补丁并安装:

https://msrc.microsoft.com/update-guide/releaseNote/2021-Aug



产品线解决方案

奇安信天眼检测方案

奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击,请将规则版本升级到3.0.0811.12977或以上版本。规则ID及规则名称:0x10020DBF,Microsoft Scripting 引擎内存破坏漏洞(CVE-2021-34480); 0x5dd5, Windows Services for NFS ONCRPC XDR Driver 远程代码执行漏洞(CVE-2021-26432)。

奇安信天眼流量探针规则升级方法:系统配置->设备升级->规则升级,选择“网络升级”或“本地升级”。



参考资料

[1]https://msrc.microsoft.com/update-guide/releaseNote/2021-Aug


时间线

2021年8月11日,奇安信 CERT发布安全风险通告


点击阅读原文
到奇安信NOX-安全监测平台查询更多漏洞详情





【安全风险通告】微软8月补丁日多产品高危漏洞安全风险通告

奇安信CERT长期招募安全研究员

↓↓↓向下滑动图片了解更多↓↓↓

本文始发于微信公众号(奇安信 CERT):【安全风险通告】微软8月补丁日多产品高危漏洞安全风险通告

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: