通告摘要
本月，微软共发布了47个漏洞的补丁程序，其中，Windows TCP/IP、Windows Print Spooler、Remote Desktop Client、Windows MSHTML Platform、Windows Graphics Component、Windows Services for NFS ONCRPC XDR Driver、Scripting Engine等产品中的7个漏洞被微软官方标记为紧急漏洞。以下10个漏洞（包括5个紧急漏洞和5个重要漏洞）值得关注，如下表所示：
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
注：“利用可能”字段包含三个维度（是否公开[Y/N]/是否在野利用[Y/N]/可利用性评估[D/M/L/U/NA]）
|
简写 |
定义 |
翻译 |
|
Y |
Yes |
是 |
|
N |
No |
否 |
|
D |
0-Exploitation detected |
0-检测到利用 |
|
M |
1-Exploitation more likely * |
1-被利用可能性极大 |
|
L |
2-Exploitation less likely ** |
2-被利用可能性一般 |
|
U |
3-Exploitation unlikely *** |
3-被利用可能性很小 |
|
NA |
4-N/A |
4-不适用 |
其中，CVE-2021-36948 Windows Update Medic Service权限提升漏洞已检测到被攻击利用，另外4个漏洞的细节已公开披露。其中，CVE-2021-34481、CVE-2021-36934两个漏洞信息在上月公开，已于本月修补（奇安信CERT针对这两个漏洞已发过通告，详情请查阅公众号），如下所示：
-
CVE-2021-36936 Windows Print Spooler 远程代码执行漏洞（Y/N/M）
-
CVE-2021-34481 Windows Print Spooler 远程代码执行漏洞（Y/N/M）
-
CVE-2021-36942 Windows LSA 欺骗漏洞（Y/N/M）
-
CVE-2021-36948 Windows Update Medic Service权限提升漏洞（N/Y/D）
-
CVE-2021-36934 Windows 权限提升漏洞（Y/N/M）
以下9个漏洞被微软标记为“Exploitation More Likely”，这代表这些漏洞更容易被利用：
-
CVE-2021-26424 Windows TCP/IP 远程代码执行漏洞（N/N/M）
-
CVE-2021-36936 Windows Print Spooler 远程代码执行漏洞（Y/N/M）
-
CVE-2021-34481 Windows Print Spooler 远程代码执行漏洞（Y/N/M）
-
CVE-2021-36947 Windows Print Spooler 远程代码执行漏洞（N/N/M）
-
CVE-2021-34535 Remote Desktop Client 远程代码执行漏洞（N/N/M）
-
CVE-2021-26432 Windows Services for NFS ONCRPC XDR Driver 远程代码执行漏洞（N/N/M）
-
CVE-2021-36942 Windows LSA 欺骗漏洞（Y/N/M）
-
CVE-2021-34480 Scripting Engine 内存损坏漏洞（N/N/M）
-
CVE-2021-36934 Windows 权限提升漏洞（Y/N/M）
以下漏洞由奇安信代码安全实验室发现并提交，包括：CVE-2021-36933、CVE-2021-36932、CVE-2021-36926、CVE-2021-26433、CVE-2021-26432、CVE-2021-26424。鉴于这些漏洞危害较大，建议客户尽快安装更新补丁。
-
CVE-2021-36948 Windows Update Medic Service权限提升漏洞（N/Y/D）
-
CVE-2021-26424 Windows TCP/IP 远程代码执行漏洞（N/N/M）
-
CVE-2021-36936 Windows Print Spooler 远程代码执行漏洞（Y/N/M）
-
CVE-2021-34481 Windows Print Spooler 远程代码执行漏洞（Y/N/M）
-
CVE-2021-36947 Windows Print Spooler 远程代码执行漏洞（N/N/M）
-
CVE-2021-34535 Remote Desktop Client 远程代码执行漏洞（N/N/M）
-
CVE-2021-26432 Windows Services for NFS ONCRPC XDR Driver 远程代码执行漏洞（N/N/M）
-
CVE-2021-36942 Windows LSA 欺骗漏洞（Y/N/M）
-
CVE-2021-34480 Scripting Engine 内存损坏漏洞（N/N/M）
-
CVE-2021-36934 Windows 权限提升漏洞（Y/N/M）
奇安信CERT对此进行研判，影响较大的10个漏洞（包括5个紧急漏洞和5个重要漏洞）的详细信息如下：
1、CVE-2021-26432 Windows Services for NFS ONCRPC XDR Driver远程代码执行漏洞
|
漏洞名称 |
Windows Services for NFS ONCRPC XDR Driver远程代码执行漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
紧急 |
漏洞ID |
CVE-2021-26432 |
|
公开状态 |
未公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
NFS Windows Services的RPC调用（RPCXDR）内核驱动中存在漏洞，未经身份验证的远程攻击者可以远程利用该漏洞在目标主机上执行代码，利用该漏洞无需用户交互。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26432 |
|||||
2、CVE-2021-34535 远程桌面客户端远程执行代码漏洞
|
漏洞名称 |
远程桌面客户端远程执行代码漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
紧急 |
漏洞ID |
CVE-2021-34535 |
|
公开状态 |
未公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows远程桌面客户端存在远程代码执行漏洞，利用该漏洞不需要经过身份验证，但需要和用户交互，利用该漏洞可以使攻击者使用与用户相同的方式进行身份验证，获得权限。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34535 |
|||||
3、CVE-2021-36947 Windows 打印后台处理程序远程执行代码漏洞
|
漏洞名称 |
Windows 打印后台处理程序远程执行代码漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-36947 |
|
公开状态 |
未公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows打印后台处理程序中存在远程代码执行漏洞，拥有低权限的攻击者可以在不需要用户交互的情况下，在目标主机远程执行代码。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-36947 |
|||||
4、CVE-2021-36942 Windows LSA 欺骗漏洞
|
漏洞名称 |
Windows LSA 欺骗漏洞 |
||||
|
漏洞类型 |
信息泄露 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-36942 |
|
公开状态 |
已公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows LSA存在欺骗漏洞，该漏洞允许攻击者从域控或者其他主机窃取NTLM哈希，利用该漏洞不需要经过身份验证，也不需要用户交互。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36942 |
|||||
5、CVE-2021-36936 Windows 打印后台处理程序远程执行代码漏洞
|
漏洞名称 |
Windows打印后台处理程序远程执行代码漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
紧急 |
漏洞ID |
CVE-2021-36936 |
|
公开状态 |
已公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows打印后台处理程序中存在远程代码执行漏洞，该漏洞允许有低权限的攻击者在无需用户交互的情况下在目标主机远程执行代码，目前该漏洞详情已公开披露。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-36936 |
|||||
6、CVE-2021-26424 Windows TCP/IP 远程执行代码漏洞
|
漏洞名称 |
Windows TCP/IP 远程执行代码漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
紧急 |
漏洞ID |
CVE-2021-26424 |
|
公开状态 |
未公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows TCP/IP 存在远程代码执行漏洞，该漏洞源于 tcpip.sys 在处理通过 IPv6 协议发送的 TCP/IP 数据包时存在边界错误。远程 Hyper-V 来宾可以向受影响的 Hyper-V 主机发送特制的 IPv6 ping，触发内存损坏并在系统上执行任意代码。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-26424 |
|||||
7、CVE-2021-34480 脚本引擎内存损坏漏洞
|
漏洞名称 |
脚本引擎内存损坏漏洞 |
||||
|
漏洞类型 |
内存损坏漏洞 |
风险等级 |
紧急 |
漏洞ID |
CVE-2021-34480 |
|
公开状态 |
未公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows脚本引擎存在内存损坏漏洞，该漏洞的存在是由于脚本引擎中的边界错误。远程攻击者可以欺骗受害者打开特制文件或访问恶意网站，触发内存损坏并在目标系统上执行任意代码。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-34480 |
|||||
8、CVE-2021-36934 Windows特权提升漏洞
|
漏洞名称 |
Windows 特权提升漏洞 |
||||
|
漏洞类型 |
特权提升 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-36934 |
|
公开状态 |
已公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows对多个系统文件（包括安全帐户管理器 (SAM) 数据库）的访问控制列表 (ACL) 过于宽松，存在特权提升漏洞，成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-36934 |
|||||
9、CVE-2021-34481 Windows 打印后台处理服务程序远程代码执行漏洞
|
漏洞名称 |
Windows 打印后台处理服务程序远程代码执行漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-34481 |
|
公开状态 |
已公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows Print Spooler 服务不正确地执行特权文件操作时，存在远程执行代码漏洞，成功利用此漏洞的攻击者可以使用 SYSTEM 权限运行任意代码。然后攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。 值得注意的是，该漏洞（本地权限提升）细节已于上月公开披露，目前微软已确认该漏洞可远程代码执行。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-34481 |
|||||
10、CVE-2021-36948 Windows Update Medic 服务权限提升漏洞
|
漏洞名称 |
Windows Update Medic 服务权限提升漏洞 |
||||
|
漏洞类型 |
权限提升 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-36948 |
|
公开状态 |
未公开 |
在野利用 |
已发现 |
||
|
漏洞描述 |
Microsoft Update Medic 存在权限提升漏洞，该漏洞的存在是由于 Windows Update Medic 服务中的边界错误。本地用户可以运行特制的程序来执行具有提升权限的任意代码。 |
||||
|
参考链接 |
|||||
|
https://msrc.microsoft.com/update-guide/en-US/vulnerability/ CVE-2021-36948 |
|||||
也可以采用以下官方解决方案及缓解方案来防护此漏洞：
Windows自动更新
Windows系统默认启用 Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”-> “系统和安全”->“Windows更新”）
3、选择“检查更新”，等待系统将自动检查并下载可用更新
4、重启计算机，安装更新
系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
手动安装补丁
另外，对于不能自动更新的系统版本（如Windows 7、Windows Server 2008、Windows Server 2008 R2），可参考以下链接下载适用于该系统的8月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2021-Aug
奇安信天眼检测方案
奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.0811.12977或以上版本。规则ID及规则名称：0x10020DBF，Microsoft Scripting 引擎内存破坏漏洞(CVE-2021-34480); 0x5dd5, Windows Services for NFS ONCRPC XDR Driver 远程代码执行漏洞(CVE-2021-26432)。
奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。
2021年8月11日，奇安信 CERT发布安全风险通告
本文始发于微信公众号（奇安信 CERT）：【安全风险通告】微软8月补丁日多产品高危漏洞安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论