微軟10月累積更新，修復4個0day漏洞

編輯：左右裡

10月12日，微軟釋出了每月例行的累積更新，修復了3個嚴重漏洞，70個重要漏洞，其中包括4個0day漏洞。

 

本次修復的漏洞涉及許可權提升、安全功能繞過、欺騙、遠端程式碼執行、資訊洩露、拒絕服務這幾種，影響到Microsoft Office、Exchange Server、MSHTML、Visual Studio、Edge瀏覽器等元件。

 

接下來主要介紹一下4個0day漏洞：

 

CVE-2021-40449 - Win32k 許可權提升漏洞

卡巴斯基稱，有駭客組織在利用該0day漏洞進行“針對IT公司、軍事/國防承包商和外交實體的廣泛間諜活動”。攻擊者透過安裝遠端訪問木馬，利用該漏洞獲取更高的許可權。

 

另外三個0day漏洞目前沒有被在野利用的訊息。

 

CVE-2021-40469 - Windows DNS伺服器遠端程式碼執行漏洞

在域控制器上實現遠端程式碼執行的攻擊者獲取域管理員許可權的後果很嚴重，幸而該漏洞很難武器化。

 

CVE-2021-41335 - Windows核心許可權提升漏洞

該漏洞已公開披露在POC（概念驗證）中，成功利用可允許攻擊者在核心模式下執行任意程式碼，這種漏洞通常是攻擊鏈中重要的一部分。

 

CVE-2021-41338 - Windows AppContainer防火牆規則安全功能繞過漏洞

AppContainer能夠阻止惡意程式碼，防止來自第三方應用的滲透。而該漏洞允許攻擊者繞過Windows AppContainer防火牆規則，且無需使用者互動即可加以利用。

 

本次更新適用於Win10 21H1（Build 19043.1288）、Win10 20H2（Build 19042.1288）、Win10 Version 2004（Build 19041.1288）。在此建議大家做好安全防範工作，及時進行安全更新。

資訊來源：微軟官網

轉載請註明出處和本文連結

推薦文章++++

* Windows 11已知問題彙總

* Facebook全球服務中斷，一週當機兩次

* 駭客公開Twitch完整原始碼，稱這是對其不作為的報復

* 千萬部安卓手機中招，惡意軟體每月竊取數百萬英鎊

* 自動重置應用許可權，谷歌推進Android隱私保護

* 今年已因網戀詐騙損失1.33億美元，美國殺豬盤也猖獗

* 微軟賬戶登入將不再需要密碼

﹀

﹀

﹀

公眾號ID：ikanxue

官方微博：看雪安全

商務合作：wsc@kanxue.com