【安全风险通告】微软12月补丁日多个产品高危漏洞安全风险通告

admin
admin
admin
139013
文章
114
评论
2020年12月9日11:51:28评论41 views字数 6061阅读20分12秒阅读模式
【安全风险通告】微软12月补丁日多个产品高危漏洞安全风险通告

奇安信CERT

致力于第一时间为企业级用户提供安全风险通告和有效解决方案。




通告摘要



本月，微软共发布了58个漏洞的补丁程序和一个安全指南（DNS欺骗漏洞缓解指南 ---- ADV200013），其中，Microsoft SharePoint、Microsoft Dynamics 365 for Finance and Operations、Hyper-V、Microsoft Exchange、Chakra Scripting Engine、Git for Visual Studio等产品中的10个漏洞被微软官方标记为紧急漏洞。经研判，以下7个漏洞（包括5个紧急漏洞和2个重要漏洞）影响较大：CVE-2020-17121、CVE-2020-17095、CVE-2020-17117、CVE-2020-17132、CVE-2020-17142、CVE-2020-17144、CVE-2020-17096。


风险通告

本月，微软共发布了58个漏洞的补丁程序和一个安全指南（DNS欺骗漏洞缓解指南 ---- ADV200013），其中，Microsoft SharePoint、Microsoft Dynamics 365 for Finance and Operations、Hyper-V、Microsoft Exchange、Chakra Scripting Engine、Git for Visual Studio等产品中的10个漏洞被微软官方标记为紧急漏洞。经研判，以下7个漏洞（包括5个紧急漏洞和2个重要漏洞）影响较大，如下表所示：

CVE编号

风险等级

漏洞名称

利用可能

CVE-2020-17121

紧急

Microsoft SharePoint 远程代码执行漏洞

N/N/M

CVE-2020-17095

紧急

Hyper-V 远程代码执行漏洞

N/N/L

CVE-2020-17117

紧急

Microsoft Exchange 远程代码执行漏洞

N/N/L

CVE-2020-17132

紧急

Microsoft Exchange 远程代码执行漏洞

N/N/L

CVE-2020-17142

紧急

Microsoft Exchange 远程代码执行漏洞

N/N/L

CVE-2020-17144

重要

Microsoft Exchange 远程代码执行漏洞

N/N/M

CVE-2020-17096

重要

Windows NTFS 远程代码执行漏洞

N/N/M


注：“利用可能”字段包含三个维度（是否公开[Y/N]/是否在野利用[Y/N]/可利用性评估[D/M/L/U/NA]）

简写

定义

翻译

Y

Yes

是

N

No

否

D

0-Exploitation   detected

0-检测到利用

M

1-Exploitation   more likely *

1-被利用可能性极大

L

2-Exploitation   less likely **

2-被利用可能性一般

U

3-Exploitation   unlikely ***

3-被利用可能性很小

NA

4-N/A

4-不适用


其中，以下6个漏洞被微软标记为 “Exploitation More Likely”，这代表这些漏洞更容易被利用：

  • CVE-2020-17118

  • CVE-2020-17121

  • CVE-2020-17152

  • CVE-2020-17158

  • CVE-2020-17144

  • CVE-2020-17096


以下漏洞由奇安信A-TEAM和奇安信技术研究院发现并提交，包括：CVE-2020-17144、Windows DNS Server欺骗漏洞 (ADV200013)。鉴于这些漏洞危害较大，建议客户尽快安装更新补丁。

【安全风险通告】微软12月补丁日多个产品高危漏洞安全风险通告



漏洞描述

本月，微软共发布58个漏洞的补丁程序和一个安全指南（DNS欺骗漏洞缓解指南 ---- ADV200013），其中，CVE-2020-17144漏洞由奇安信A-TEAM发现并提交，Windows DNS Server欺骗漏洞由奇安信技术研究院发现并提交。另外，以下6个漏洞被微软标记为 “Exploitation More Likely”，这代表这些漏洞更容易被利用：

  • CVE-2020-17118

  • CVE-2020-17121

  • CVE-2020-17152

  • CVE-2020-17158

  • CVE-2020-17144

  • CVE-2020-17096

奇安信CERT对此进行研判，影响较大的7个漏洞（包括5个紧急漏洞和2个重要漏洞）的详细信息如下：


1、CVE-2020-17121 Microsoft SharePoint  远程代码执行漏洞

漏洞名称

Microsoft SharePoint 远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2020-17121

公开状态

未公开

在野利用

未发现

漏洞描述

Microsoft SharePoint存在一个远程代码执行漏洞，这个漏洞允许经过身份验证的用户在SharePoint Web应用程序服务器上执行任意 .NET 代码，在其默认配置中，经过身份验证的 SharePoint 用户可以创建提供启动攻击所必需的所有权限的网站。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17121


2、CVE-2020-17095 Hyper-V 远程代码执行漏洞

漏洞名称

Hyper-V 远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID

CVE-2020-17095

公开状态

未公开

在野利用

未发现

漏洞描述

Hyper-V存在一个远程代码执行漏洞，这个漏洞可能允许攻击者从Hyper-V guest OS权限提升到Hyper-V host权限，在guest OS中利用不需要特殊的权限配置。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17095


3、Microsoft Exchange 远程代码执行漏洞

漏洞名称

Microsoft Exchange 远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

紧急

漏洞ID
详见漏洞描述

公开状态

未公开

在野利用

未发现

漏洞描述

Microsoft Exchange存在三个远程代码执行漏洞（CVE-2020-17117、CVE-2020-17132、CVE-2020-17142），拥有高权限的攻击者可以利用此漏洞，且此漏洞无需任何用户交互即可被利用。成功利用此漏洞的远程攻击者可在目标系统上执行任意代码。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17117

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17132

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17142


4、CVE-2020-17144 Microsoft Exchange 远程代码执行漏洞

漏洞名称

Microsoft Exchange 远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

重要

漏洞ID

CVE-2020-17144

公开状态

未公开

在野利用

未发现

漏洞描述

Microsoft Exchange在处理内存中的对象时，存在一个远程代码执行漏洞。经过身份认证的攻击者可利用此漏洞以SYSTEM用户权限在目标系统上执行任意代码。和CVE-2018-8302、CVE-2020-0688类似，CVE-2020-17144同属需登录后利用的反序列化漏洞，但仅影响Exchange 2010服务器。与CVE-2020-0688不同，由于漏洞本身有趣的成因和触发条件，在利用时无需明文密码，只要具备NTHash即可成功，在利用方式上会相对更加灵活。同时，存在漏洞的功能点本身具备持久化功能，利用成功后将直接进行持久化行为，在不修复漏洞的情况下将永远存在，其危害性和隐蔽性远大于CVE-2020-0688。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17144


5、CVE-2020-17096 Windows NTFS 远程代码执行漏洞

漏洞名称

Windows NTFS 远程代码执行漏洞

漏洞类型

远程代码执行

风险等级

重要

漏洞ID

CVE-2020-17096

公开状态

未公开

在野利用

未发现

漏洞描述

Windows NTFS存在一个远程执行代码漏洞，本地攻击者可以运行特制的应用程序，从而提高攻击者的特权。具有SMBv2访问权限的远程攻击者可以通过网络发送经特殊设计的请求，以利用此漏洞在目标系统上执行代码。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-17096


另外，微软还发布了ADV200013 DNS 欺骗漏洞缓解指南，该漏洞由奇安信技术研究院发现并提交。目前官方还未发布相关补丁程序，可参考处置建议一章进行缓解。


1、ADV200013 DNS 欺骗漏洞缓解指南

漏洞名称

Windows DNS Server 欺骗漏洞

漏洞类型

欺骗漏洞

风险等级

重要

漏洞ID

ADV200013

公开状态

未公开

在野利用

未发现

漏洞描述

Windows DNS Server在转发模式下工作时会受该漏洞影响，递归模式下工作时不受影响。DNS响应包过大时会受到UDP协议的特性影响，出现分片现象，Windows DNS Server 在遇到此现象时由于没有相关限制或校验，导致旁路攻击者可以通过伪造分片来伪造DNS响应，从而污染Windows DNS Server 的DNS缓存，进而劫持任意域名。

参考链接

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV200013



风险等级

奇安信 CERT风险评级为：高危
风险等级：蓝色（一般事件）



处置建议

使用奇安信天擎的客户可以通过奇安信天擎控制台一键更新修补相关漏洞，也可以通过奇安信天擎客户端一键更新修补相关漏洞。


也可以采用以下官方解决方案及缓解方案来防护此漏洞：

Windows自动更新

Windows系统默认启用 Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：

1、点击“开始菜单”或按Windows快捷键，点击进入“设置”

2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”-> “系统和安全”->“Windows更新”）

3、选择“检查更新”，等待系统将自动检查并下载可用更新

4、重启计算机，安装更新


系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。


手动安装补丁

另外，对于不能自动更新的系统版本（如Windows 7、Windows Server 2008、Windows Server 2008 R2），可参考以下链接下载适用于该系统的12月补丁并安装：

https://msrc.microsoft.com/update-guide/releaseNote/2020-Dec


如果无法立即安装更新，可参考以下步骤缓解漏洞：

  • ADV200013 Windows DNS Server欺骗漏洞 - 限制Windows DNS servers 的UDP 缓冲区大小

1、以管理员权限运行 regedit.exe 
2、找到 HKLMSYSTEMCurrentControlSetServicesDNSParameters子项并设置以下参数：
Value: MaximumUdpPacketSize
Type: DWORD
Data: 1221
3、关闭注册表编辑器并重启DNS服务



产品线解决方案

奇安信天擎终端安全管理系统解决方案

奇安信天擎终端安全管理系统并且有漏洞修复相关模块的用户，可以将补丁库版本更新到：2020.12.09.1及以上版本，对内网终端进行补丁更新。

推荐采用自动化运维方案，如果控制中心可以连接互联网的用户场景，建议设置为自动从奇安信云端更新补丁库至2020.12.09.1版本。

控制中心补丁库更新方式：每天04:00-06:00自动升级，升级源为从互联网升级。

纯隔离网内控制中心不能访问互联网，不能下载补丁库和补丁文件，需使用离线升级工具定期导入补丁库和文件到控制中心。


奇安信网神网络数据传感器系统产品检测方案

奇安信网神网络数据传感器（NDS3000/5000/9000系列）产品，已具备该补丁日多个高危漏洞（含：CVE-2020-17096、CVE-2020-17144和CVE-2020-17121）的检测能力。对应的规则ID为：51880、6070、6071，建议用户尽快升级检测规则库至2012091833以后版本并启用该多个检测规则。


奇安信天眼产品解决方案

微软12月份补丁日修复了一批漏洞，奇安信天眼新一代威胁感知系统在第一时间加入了这些漏洞的检测规则，请将规则包升级到3.0.1208.12531及以上版本。规则名称：MicrosoftDynamics 365 for Finance and Operations远程代码执行漏洞(CVE-2020-17152)，规则ID：0x10020B76；规则名称：MicrosoftExchange Server远程执行代码漏洞(CVE-2020-17144)，规则ID：0x10020B75；规则名称：MicrosoftSharePoint远程代码执行漏洞(CVE-2020-17121)，规则ID：0x10020B74；规则名称：MicrosoftWindows NTFS远程代码执行漏洞(CVE-2020-17096)，规则ID：0x5d8d。奇安信天眼流量探针（传感器）升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。



参考资料

[1]https://msrc.microsoft.com/update-guide/releaseNote/2020-Dec


时间线

2020年12月9日，奇安信 CERT发布安全风险通告


【安全风险通告】微软12月补丁日多个产品高危漏洞安全风险通告点击阅读原文
到奇安信NOX-安全监测平台查询更多漏洞详情





【安全风险通告】微软12月补丁日多个产品高危漏洞安全风险通告

本文始发于微信公众号（奇安信 CERT）：【安全风险通告】微软12月补丁日多个产品高危漏洞安全风险通告

免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2020年12月9日11:51:28
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出)：
                   【安全风险通告】微软12月补丁日多个产品高危漏洞安全风险通告https://cn-sec.com/archives/197950.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉.

发表评论

匿名网友 填写信息