通告摘要
本月，微软共发布了89个漏洞的补丁程序，包括微软于上周紧急修补的7个Exchange漏洞，如下所示。其中，4个漏洞已检测到在野利用。对此，奇安信CERT已发布《Microsoft Exchange多个高危漏洞安全风险通告第四次更新》。
-
Exchange 服务端请求伪造漏洞（CVE-2021-26855，在野利用）
-
Exchange 反序列化漏洞（CVE-2021-26857 ，在野利用）
-
Exchange 任意文件写入漏洞（CVE-2021-26858、CVE-2021-27065，在野利用）
-
Exchange 远程代码执行漏洞（CVE-2021-26412、CVE-2021-26854、CVE-2021-27078）
另外，Windows DNS Server、Windows Hyper-V、DirectWrite、HEVC Video Extensions、Azure Sphere Unsigned、Azure Virtual Machine、Internet Explorer、Git for Visual Studio、OpenType Font Parsing等产品中的10个漏洞被微软官方标记为紧急漏洞。经研判，以下6个漏洞（包括2个紧急漏洞和4个重要漏洞）影响较大，如下表所示：
|
CVE编号 |
风险等级 |
漏洞名称 |
利用可能 |
|
CVE-2021-26897 |
紧急 |
Windows DNS Server远程代码执行漏洞 |
N/N/M |
|
CVE-2021-26411 |
紧急 |
Internet Explorer内存损坏漏洞 |
Y/Y/D |
|
CVE-2021-26877 |
重要 |
Windows DNS Server远程代码执行漏洞 |
N/N/M |
|
CVE-2021-27076 |
重要 |
Microsoft SharePoint Server远程代码执行漏洞 |
N/N/M |
|
CVE-2021-26863 |
重要 |
Win32k权限提升漏洞 |
N/N/M |
|
CVE-2021-27077 |
重要 |
Win32k权限提升漏洞 |
Y/N/L |
注：“利用可能”字段包含三个维度（是否公开[Y/N]/是否在野利用[Y/N]/可利用性评估[D/M/L/U/NA]）
|
简写 |
定义 |
翻译 |
|
Y |
Yes |
是 |
|
N |
No |
否 |
|
D |
0-Exploitation detected |
0-检测到利用 |
|
M |
1-Exploitation more likely * |
1-被利用可能性极大 |
|
L |
2-Exploitation less likely ** |
2-被利用可能性一般 |
|
U |
3-Exploitation unlikely *** |
3-被利用可能性很小 |
|
NA |
4-N/A |
4-不适用 |
其中，CVE-2021-26411 Internet Explorer内存损坏漏洞已检测到在野攻击，以下6个漏洞被微软标记为 “Exploitation More Likely”，这代表这些漏洞更容易被利用：
-
CVE-2021-24095
-
CVE-2021-26897
-
CVE-2021-26863
-
CVE-2021-26868
-
CVE-2021-26877
-
CVE-2021-27076
鉴于这些漏洞危害较大，建议客户尽快安装更新补丁。
-
CVE-2021-24095
-
CVE-2021-26897
-
CVE-2021-26863
-
CVE-2021-26868
-
CVE-2021-26877
-
CVE-2021-27076
奇安信CERT对此进行研判，影响较大的6个漏洞（包括2个紧急漏洞和4个重要漏洞）的详细信息如下：
1、CVE-2021-26897 Windows DNS Server 远程代码执行漏洞
|
漏洞名称 |
Windows DNS Server 远程代码执行漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
紧急 |
漏洞ID |
CVE-2021-26897 |
|
公开状态 |
已公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows DNS Server存在远程代码执行漏洞，攻击者可通过向目标主机发送特制请求来利用此漏洞，成功利用此漏洞可在目标主机上以SYSTEM权限执行任意代码。启用安全动态更新可暂时缓解此漏洞，但攻击者依然可以通过加入域的计算机攻击启用了安全区域更新的DNS服务器。目前，该漏洞细节已公开。 |
||||
|
参考链接 |
|||||
|
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26897 |
|||||
2、CVE-2021-26411 Internet Explorer 内存损坏漏洞
|
漏洞名称 |
Internet Explorer内存损坏漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
紧急 |
漏洞ID |
CVE-2021-26411 |
|
公开状态 |
已公开 |
在野利用 |
已发现 |
||
|
漏洞描述 |
Interne Explorer在处理DOM对象时，存在一处double free漏洞，攻击者可通过诱导用户点击恶意链接或文件来利用此漏洞，此漏洞可导致远程代码执行，从而使攻击者控制用户系统。该漏洞细节已公开，并检测到在野利用。 |
||||
|
参考链接 |
|||||
|
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26411 |
|||||
3、CVE-2021-26877 Windows DNS Server 远程代码执行漏洞
|
漏洞名称 |
Windows DNS Server 远程代码执行漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-26877 |
|
公开状态 |
已公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Windows DNS Server存在远程代码执行漏洞，攻击者可通过向目标主机发送特制请求来利用此漏洞，成功利用此漏洞可在目标主机上以SYSTEM权限执行任意代码。启用安全动态更新可暂时缓解此漏洞，但攻击者依然可以通过加入域的计算机攻击启用了安全区域更新的DNS服务器。目前，该漏洞细节已公开。 |
||||
|
参考链接 |
|||||
|
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26877 |
|||||
4、CVE-2021-27076 Microsoft SharePoint Server远程代码执行漏洞
|
漏洞名称 |
Microsoft SharePoint Server远程代码执行漏洞 |
||||
|
漏洞类型 |
远程代码执行 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-27076 |
|
公开状态 |
未公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Microsoft SharePoint Server存在远程代码执行漏洞。利用此漏洞，攻击者需要能够使用SharePoint服务器创建或修改网站。经过身份认证的攻击者可利用此漏洞获得远程代码执行。该漏洞被微软标记为“Exploitation More Likely”。 |
||||
|
参考链接 |
|||||
|
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-27076 |
|||||
5、CVE-2021-26863 Win32k权限提升漏洞
|
漏洞名称 |
Win32k权限提升漏洞 |
||||
|
漏洞类型 |
权限提升 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-26863 |
|
公开状态 |
未公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Win32k存在权限提升漏洞，经过本地身份认证的攻击者可利用此漏洞在目标主机上以SYSTEM权限执行任意代码。该漏洞被微软标记为“Exploitation More Likely”。 |
||||
|
参考链接 |
|||||
|
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26863 |
|||||
6、CVE-2021-26863 Win32k权限提升漏洞
|
漏洞名称 |
Win32k权限提升漏洞 |
||||
|
漏洞类型 |
权限提升 |
风险等级 |
重要 |
漏洞ID |
CVE-2021-26863 |
|
公开状态 |
已公开 |
在野利用 |
未发现 |
||
|
漏洞描述 |
Win32k存在权限提升漏洞，经过本地身份认证的攻击者可利用此漏洞在目标主机上以SYSTEM权限执行任意代码。目前，该漏洞细节已公开。 |
||||
|
参考链接 |
|||||
|
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2021-26863 |
|||||
也可以采用以下官方解决方案及缓解方案来防护此漏洞：
Windows自动更新
Windows系统默认启用 Microsoft Update，当检测到可用更新时，将会自动下载更新并在下一次启动时安装。还可通过以下步骤快速安装更新：
1、点击“开始菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”，步骤为“控制面板”-> “系统和安全”->“Windows更新”）
3、选择“检查更新”，等待系统将自动检查并下载可用更新
4、重启计算机，安装更新
系统重新启动后，可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录[http://www.catalog.update.microsoft.com/Search.aspx?q=KB4565554]”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
手动安装补丁
另外，对于不能自动更新的系统版本（如Windows 7、Windows Server 2008、Windows Server 2008 R2），可参考以下链接下载适用于该系统的3月补丁并安装：
https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar
如果无法立即安装更新，可参考以下步骤缓解漏洞：
-
Windows DNS Server 远程代码执行漏洞
启用安全动态更新可暂时缓解CVE-2021-26897和CVE-2021-26877漏洞，但攻击者依然可以通过加入域的计算机攻击启用了安全区域更新的DNS服务器。建议受影响的客户尽快安装安全补丁以修复这些漏洞。
奇安信天擎终端安全管理系统解决方案
奇安信天擎终端安全管理系统并且有漏洞修复相关模块的用户，可以将补丁库版本更新到：2021.03.10.1及以上版本，对内网终端进行补丁更新。
推荐采用自动化运维方案，如果控制中心可以连接互联网的用户场景，建议设置为自动从奇安信云端更新补丁库至2021.03.10.1版本。
控制中心补丁库更新方式：每天04:00-06:00自动升级，升级源为从互联网升级。
纯隔离网内控制中心不能访问互联网，不能下载补丁库和补丁文件，需使用离线升级工具定期导入补丁库和文件到控制中心。
奇安信天眼检测方案
奇安信天眼新一代安全感知系统已经能够有效检测针对该漏洞的攻击，请将规则版本升级到3.0.0309.12686或以上版本。规则ID及规则名称：
0x10020BEB，Microsoft Internet Explorer 远程代码执行漏洞(CVE-2021-26411); 0x5da6, Microsoft Windows DNS Server远程代码执行漏洞(CVE-2021-26877); 0x5da7, Microsoft Windows DNS Server远程代码执行漏洞(CVE-2021-26897);
奇安信天眼流量探针规则升级方法：系统配置->设备升级->规则升级，选择“网络升级”或“本地升级”。
奇安信网神网络数据传感器系统产品检测方案
奇安信网神网络数据传感器（NDS3000/5000/9000系列）产品，已具备该补丁日多个高危漏洞（含 Internet Explorer内存破坏漏洞(CVE-2021-26411 、
Windows DNS Server远程代码执行漏洞(CVE-2021-26877、
Windows DNS Server远程代码执行漏洞(CVE-2021-26897)）的检测能力。对应的规则ID为：6234、51939、51944，建议用户尽快升级检测规则库至2103101244以后版本并启用该多个检测规则。
2021年3月10日，奇安信 CERT发布安全风险通告
本文始发于微信公众号（奇安信 CERT）：【安全风险通告】DNS高危漏洞细节已公开，奇安信产品支持防护，微软3月补丁日多产品高危漏洞安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论