1月份，微软发布了98个漏洞的补丁，解决了 Microsoft Windows 和 Windows 组件、Office 和 Office 组件、.NET Core 和 Visual Studio Code、3D Builder、Azure Service Fabric Container、Windows BitLocker、Windows Defender、Windows Print Spooler 组件和 Microsoft Exchange Server相关的问题。
在本次发布的98个漏洞中，11个被评为严重，87个被评为重要。本月修补的新漏洞中有1个漏洞被列为公开已知，1个漏洞处于在野利用。
在本月的更新中，ZDI 列出了4个值得关注的漏洞，分别是 CVE-2023-21674、CVE-2023-21743、CVE-2023-21763、CVE-2023-21764。
CVSS基本分数：
| CVE-2023-21674 | 8.8 |
| CVE-2023-21743 | 8.2 |
| CVE-2023-21763 | 7.8 |
| CVE-2023-21764 | 7.8 |
CVE-2023-21674：Windows 高级本地过程调用 (ALPC) 特权提升漏洞
CVE-2023-21763 / CVE-2023-21764：Microsoft Exchange Server 权限提升漏洞
这2个漏洞是由于 CVE-2022-41123 漏洞的补丁失效产生的。由于使用了硬编码路径，本地攻击者可以加载他们自己的 DLL 并在 SYSTEM 级别执行代码。最近的一份报告显示，有将近 70,000 台未打补丁的 Exchange 服务器可通过互联网访问。若企业有在本地运行 Exchange，请尽快排查并部署所有 Exchange 补丁。
另外，对于不能自动更新的系统版本（如Windows 7、Windows Server 2008、Windows Server 2008 R2），可参考以下链接下载适用于该系统的1月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2023-Jan
https://www.zerodayinitiative.com/blog/2023/1/10/the-january-2023-security-update-review
https://msrc.microsoft.com/update-guide/vulnerability
白盾，实时阻断有害攻击
原文始发于微信公众号（网新安服）：Microsoft 1 月 CVE 漏洞预警
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论