漏洞概要
2021年5月12日（北京时间），微软发布了安全更新，共发布了55个CVE的补丁程序，同比上月减少了53个，涵盖了Microsoft的众多组件和软件。
在漏洞安全等级方面，有4个漏洞被微软官方标记为“Critical”，50个漏洞被标记为“Important”，1个被标为“Moderate”； 在漏洞类型方面，有22个远程代码执行漏洞，11个权限提升漏洞，1个拒绝服务漏洞，10个信息泄露漏洞，1个跨站脚本攻击，8个欺骗攻击以及2个安全特征绕过。
漏洞数据分析
1 2021漏洞数量趋势
截至2021年5月，微软在各月修复的漏洞数量以及各月严重漏洞数量如下所示：
- 总体上来看，微软本月修复的漏洞数量大幅下降到了55个，相较于上月减少了53个漏洞。
- 千里目安全实验室在综合考虑往年微软公布漏洞数量的数据统计和今年的特殊情况，初步估计微软在今年6月份公布的漏洞数将有小幅度提升。漏洞数量也会维持在108到120个左右。
2 历史微软补丁日5月漏洞对比
2018-2021年，5月份的漏洞数趋势如下图：
2018-2021年，5月份的漏洞危险等级趋势和数量如下图：
2018-2021年，5月份的漏洞各个类型数量对比如下图：
- 从漏洞数量来看，今年出现了一定程度的降低。
微软在2021年5月份爆发的漏洞相较于去年有一定的下降，一方面是由于在软件及系统缓解措施的增加，致使一些组件相较于往年更难利用，另一方面是因为一些常用组件的常见低级漏洞更难进行挖掘，漏洞挖掘的门槛逐渐提升，对相关从业人员的技术要求有较高要求。
- 从漏洞的危险等级来看，“Important”等级漏洞数量维持不变。
单个的重点高可利用漏洞数量相对平衡，但单个具有普通影响力的漏洞明显增多，这加大了严重漏洞对普通用户的危害。这种趋势，对于APT组织或成熟的攻击组织来说是一个利好消息，大幅度增加的单个严重漏洞提供了诸多的攻击路径和攻击手段组合的选择。
- 从漏洞类型来看，权限提升漏洞(EoP)大幅降低。
远程代码执行漏洞(RCE)数量相较于前两年有一定增加，其他漏洞类型的数量与往年相比差别不大。权限提升漏洞(EoP)虽然数量降低，但仍需要引起高度重视，尤其是在配合社工手段的前提下，甚至可以直接接管整个局域网并进行进一步扩展攻击。远程代码执行漏洞(RCE)一定数量的增加，这对于攻击者而言是个好消息，因为一般来说RCE漏洞相较于EOP漏洞更具危害性。远程代码执行漏洞有利于攻击者更容易的获取受害者机器的执行权限，对于普通用户以及企业来说，远程代码执行类型的漏洞是危害比较大的。跨站脚本漏洞(XSS)数量显著降低，各大网站的安全性在护网行动的督促下得到提升。
5月重要漏洞分析
1 漏洞分析
（一）Microsoft SharePoint：CVE-2021-31181
Microsoft SharePoint可以为个人、信息和公司创建门户页面。Microsoft SharePoint由于未能正确处理用户传入的XML数据，解析时会导致生成恶意控件，在获得认证权限的情况下攻击者可利用该漏洞，构造恶意数据执行任意命令从而获取服务器权限。该漏洞经过评估，危害比较大，我们建议用户及时更新微软安全补丁。
（二）Internet Explorer：CVE-2021-26419
Internet Explorer是微软公司推出的一款网页浏览器。自从1995年开始，内置在各个新版本的 Windows 操作系统，也是微软 Windows 操作系统的一个组成部分。Internet Explorer存在远程代码执行漏洞，攻击者可以通过构造恶意网页诱使用户进行访问，从而在用户机器上执行任意命令。该漏洞经过评估，危害比较大，我们建议用户及时更新微软安全补丁。
（三）HTTP协议：CVE-2021-31166
超文本传输协议（HTTP）是一个用于传输超媒体文档（例如 HTML）的应用层协议。它是为 Web 浏览器与 Web 服务器之间的通信而设计的，Windows上的HTTP协议栈用于windows上的Web服务器，该漏洞是由于HTTP协议栈相关组件在处理存在多个Accept-Encoding字段的HTTP请求时存在Use-After-Free的漏洞，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，最终获取服务器最高权限。我们建议用户及时更新微软安全补丁。
2 影响范围
3 修复建议
微软官方已更新受影响软件的安全补丁，用户可根据不同版本系统下载安装对应的安全补丁，安全更新链接如下：
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31181
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26419
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-31166
参考链接
https://msrc.microsoft.com/update-guide/releaseNote/2021-May
https://www.zerodayinitiative.com/blog/2021/5/11/the-may-2021-security-update-review
时间轴
2021/5/12 微软例行补丁日，微软官网发布漏洞安全公告。
2021/5/12 深信服千里目安全实验室发布安全更新通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
深信服科技旗下安全实验室，致力于网络安全攻防技术的研究和积累，深度洞察未知网络安全威胁，解读前沿安全技术。
● 扫码关注我们
本文始发于微信公众号（深信服千里目安全实验室）：微软补丁日安全通告|5月份
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论