微軟11月補丁日，修復12個關鍵漏洞

隨著11月安全更新的釋出，微軟已經修復了64個漏洞，其中12個被標記為關鍵漏洞。

Windows 10 Build 1809升級中的許可權提升漏洞

此漏洞ID為CVE-2018-8592。從物理介質（USB，DVD等）安裝時，Windows 10版本1809中存在一個特權提升漏洞，在安裝過程中選擇了“Keep nothing"選項。

成功利用此漏洞可能使攻擊者獲得受影響系統的本地許可權。要利用此漏洞，攻擊者需要對受影響系統的控制檯進行物理訪問。

此次更新在安裝過程完成後，通過更改內建帳戶行為來解決漏洞。

修復了嚴重漏洞

星期二活動日（Patch Tuesday）修復了12個嚴重的安全漏洞，這些漏洞允許攻擊者遠端程式碼執行，並在易受攻擊的計算機上執行命令，從而實現完全控制計算機。

在12個嚴重漏洞中，其中8個位於Chakra指令碼引擎（Chakra Scripting Engine）中。

• CVE-2018-8476  - Windows部署服務TFTP伺服器遠端執行程式碼漏洞：

存在於Windows部署服務TFTP伺服器中的安全漏洞通過處理記憶體中物件的方式，成功利用此漏洞的攻擊者可以在目標系統上使用提升許可權執行任意程式碼。

•  CVE-2018-8541  - Chakra指令碼引擎記憶體損壞漏洞：
  

cChakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞通過Microsoft Edge，通過特指網站或者廣告，也可能被利用。

• CVE-2018-8542 - Chakra指令碼引擎記憶體損壞漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞通過Microsoft Edge，通過特指網站或者廣告，也可能被利用。

• CVE-2018-8543  - Chakra指令碼引擎記憶體損壞漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞也可以通過Microsoft Edge，通過特製網站或廣告來利用。

目前，對於Windows Server 2016和2018，這被歸類為中等，但對於所有其他Windows版本，這是嚴重的。

• CVE-2018-8544  - Windows VBScript引擎遠端執行程式碼漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。

此漏洞也可以通過Microsoft Edge，通過特製網站或廣告來利用。攻擊者還可以在承載IE呈現引擎的應用程式或Microsoft Office文件中嵌入標記為“安全初始化”的ActiveX控制元件。

• CVE-2018-8551 - Chakra指令碼引擎記憶體損壞漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞也可以通過Microsoft Edge，通過特製網站或廣告來利用。

• CVE-2018-8553  -  Microsoft圖形元件遠端執行程式碼漏洞：

Microsoft Graphics Components處理記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。成功利用此漏洞的攻擊者可以在目標系統上執行任意程式碼。要利用此漏洞，使用者必須開啟特製檔案。

• CVE-2018-8555 - Chakra指令碼引擎記憶體損壞漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞也可以通過Microsoft Edge，通過特製網站或廣告來利用。

• CVE-2018-8556  - Chakra指令碼引擎記憶體損壞漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞也可以通過Microsoft Edge，通過特製網站或廣告來利用。

• CVE-2018-8557  - Chakra指令碼引擎記憶體損壞漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞也可以通過Microsoft Edge，通過特製網站或廣告來利用。

• CVE-2018-8588  - Chakra指令碼引擎記憶體損壞漏洞：

Chakra指令碼引擎處理Microsoft Edge記憶體中物件的方式裡存在一個遠端執行程式碼漏洞。此漏洞也可以通過Microsoft Edge，通過特製的網站或廣告來利用。

目前，對於Windows Server 2016和2018，這被歸類為中等，但對於所有其他Windows版本，這是嚴重的。

• CVE-2018-8609 - Microsoft Dynamics 365（內部部署）版本8遠端執行程式碼漏洞：

當伺服器無法正確清理對受影響的Dynamics伺服器Web請求時，Microsoft Dynamics 365（內部部署）版本8中存在一個遠端執行程式碼漏洞。

成功利用此漏洞的攻擊者可以在SQL服務帳戶的上下文中執行任意程式碼。經過身份驗證的攻擊者可以通過向易受攻擊的Dynamics伺服器傳送特製請求來利用此漏洞。此安全更新通過更正Microsoft Dynamics 365（內部部署）版本8，驗證和清理使用者輸入的方式來解決漏洞。

2018年11月補丁 Patch Tuesday安全更新

以下是November2018 Patch Tuesday更新解決的漏洞完整列表。

參考來源：

• bleepingcomputer
  

- End -

更多資訊：

1、同樣是黑客少年，但他們可能有不一樣的命運

2、2018年 XDef安全峰會將於11月29-30日在武漢舉行，演講議題及入選參展作品資訊已釋出

3、斯諾登為 NSA 舊案提交證詞，證實重要檔案的真實性

4、Winklevoss兄弟起訴比特幣“第一重犯”Charlie Shrem