微软 | 11月多个产品漏洞通告

发布时间 2020-11-11

0x00 漏洞概述

2020年11月10日星期二,微软发布了11月份的安全更新,本次发布的安全补丁共计112个,其中有17个漏洞评级为严重,93个漏洞评级为高危,2个漏洞评级为低危。在此次发布的17个关键补丁中,其中有12个漏洞为远程代码实行漏洞。

 

0x01 漏洞详情

 

image.png

从11月的安全公告开始,微软删除了CVE概述的描述部分。MicroSoft在周一宣布,它将使用行业标准,即通用漏洞评分系统(CVSS)来为Patch Tuesday(MicroSoft周二补丁日)的安全公告提供漏洞信息。

MicroSoft本次发布的安全更新中,受影响的产品和组件包括:微软 Windows、Office、Internet Explorer、Edge (EdgeHTML and Chromium)、 ChakraCore、 Exchange Server、Dynamics、Windows Codecs Library、 Azure Sphere、 Windows Defender、Teams、Azure SDK、Azure DevOps和Visual Studio。详情如下:

 

产品

CVE   ID

漏洞名称

严重程度

Azure   DevOps

CVE-2020-1325

Azure DevOps服务器和Team Foundation Services欺骗漏洞

高危

Azure   Sphere

CVE-2020-16985

Azure Sphere信息泄露漏洞

高危

Azure   Sphere

CVE-2020-16986

Azure Sphere拒绝服务漏洞

高危

Azure   Sphere

CVE-2020-16987

Azure Sphere未签名代码实行漏洞

高危

Azure   Sphere

CVE-2020-16984

Azure Sphere未签名代码实行漏洞

高危

Azure   Sphere

CVE-2020-16981

Azure Sphere权限提升漏洞

高危

Azure   Sphere

CVE-2020-16982

Azure Sphere未签名代码实行漏洞

高危

Azure   Sphere

CVE-2020-16983

Azure Sphere篡改漏洞

高危

Azure   Sphere

CVE-2020-16988

Azure Sphere权限提升漏洞

严重

Azure   Sphere

CVE-2020-16993

Azure Sphere权限提升漏洞

高危

Azure   Sphere

CVE-2020-16994

Azure Sphere未签名代码实行漏洞

高危

Azure   Sphere

CVE-2020-16970

Azure Sphere未签名代码实行漏洞

高危

Azure   Sphere

CVE-2020-16992

Azure Sphere权限提升漏洞

高危

Azure   Sphere

CVE-2020-16989

Azure Sphere权限提升漏洞

高危

Azure   Sphere

CVE-2020-16990

Azure Sphere信息泄露漏洞

高危

Azure   Sphere

CVE-2020-16991

Azure Sphere未签名代码实行漏洞

高危

Common   Log File System Driver

CVE-2020-17088

Windows通用日志文件系统驱动程序权限提升漏洞

高危

微软   Browsers

CVE-2020-17058

微软浏览器内存损坏漏洞

严重

微软   Dynamics

CVE-2020-17005

微软   Dynamics 365(本地)跨站点脚本漏洞

高危

微软   Dynamics

CVE-2020-17018

微软   Dynamics 365(本地)跨站点脚本漏洞

高危

微软   Dynamics

CVE-2020-17021

微软   Dynamics 365(本地)跨站点脚本漏洞

高危

微软   Dynamics

CVE-2020-17006

微软   Dynamics 365(本地)跨站点脚本漏洞

高危

微软   Exchange Server

CVE-2020-17083

微软   Exchange Server远程代码实行漏洞

高危

微软   Exchange Server

CVE-2020-17085

微软   Exchange Server拒绝服务漏洞

高危

微软   Exchange Server

CVE-2020-17084

微软   Exchange Server远程代码实行漏洞

高危

微软   Graphics Component

CVE-2020-16998

DirectX权限提升漏洞

高危

微软   Graphics Component

CVE-2020-17029

Windows   Canonical显示驱动程序信息泄露漏洞

高危

微软   Graphics Component

CVE-2020-17004

Windows图形组件信息泄露漏洞

高危

微软   Graphics Component

CVE-2020-17038

Win32k权限提升漏洞

高危

微软   Graphics Component

CVE-2020-17068

Windows GDI +远程代码实行漏洞

高危

微软   Office

CVE-2020-17065

微软   Excel远程代码实行漏洞

高危

微软   Office

CVE-2020-17064

微软   Excel远程代码实行漏洞

高危

微软   Office

CVE-2020-17066

微软   Excel远程代码实行漏洞

高危

微软   Office

CVE-2020-17019

微软   Excel远程代码实行漏洞

高危

微软   Office

CVE-2020-17067

微软   Excel安全功能绕过漏洞

高危

微软   Office

CVE-2020-17062

微软   Office Access连接引擎远程代码实行漏洞

高危

微软   Office

CVE-2020-17063

微软   Office Online欺骗漏洞

高危

微软   Office

CVE-2020-17020

微软 Word安全功能绕过漏洞

高危

微软   Office SharePoint

CVE-2020-17016

微软   SharePoint欺骗漏洞

高危

微软   Office SharePoint

CVE-2020-16979

微软   SharePoint信息泄露漏洞

高危

微软   Office SharePoint

CVE-2020-17015

微软   SharePoint欺骗漏洞

低危

微软   Office SharePoint

CVE-2020-17017

微软 SharePoint信息泄露漏洞

高危

微软   Office SharePoint

CVE-2020-17061

微软   SharePoint远程代码实行漏洞

高危

微软   Office SharePoint

CVE-2020-17060

微软   SharePoint欺骗漏洞

高危

微软   Scripting Engine

CVE-2020-17048

Chakra脚本引擎内存损坏漏洞

严重

微软   Scripting Engine

CVE-2020-17053

Internet   Explorer内存损坏漏洞

严重

微软   Scripting Engine

CVE-2020-17052

脚本引擎内存损坏漏洞

严重

微软   Scripting Engine

CVE-2020-17054

Chakra脚本引擎内存损坏漏洞

高危

微软   Teams

CVE-2020-17091

微软   Teams远程代码实行漏洞

高危

微软   Windows

CVE-2020-17032

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17033

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17026

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17031

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17027

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17030

Windows MSCTF   Server信息泄露漏洞

高危

微软   Windows

CVE-2020-17028

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17044

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17045

Windows   KernelStream信息泄露漏洞

高危

微软   Windows

CVE-2020-17046

Windows错误报告拒绝服务漏洞

低危

微软   Windows

CVE-2020-17043

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17042

Windows Print   Spooler远程代码实行漏洞

严重

微软   Windows

CVE-2020-17041

Windows打印配置权限提升漏洞

高危

微软   Windows

CVE-2020-17034

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17049

Kerberos安全功能绕过漏洞

高危

微软   Windows

CVE-2020-17051

Windows网络文件系统远程代码实行漏洞

严重

微软   Windows

CVE-2020-17040

Windows   Hyper-V安全功能绕过漏洞

高危

微软   Windows

CVE-2020-17047

Windows网络文件系统拒绝服务漏洞

高危

微软   Windows

CVE-2020-17036

Windows功能发现SSDP提供程序信息泄露漏洞

高危

微软   Windows

CVE-2020-17000

远程桌面协议客户端信息泄露漏洞

高危

微软   Windows

CVE-2020-1599

Windows欺骗漏洞

高危

微软   Windows

CVE-2020-16997

远程桌面协议服务器信息泄露漏洞

高危

微软   Windows

CVE-2020-17001

Windows Print   Spooler权限提升漏洞

高危

微软   Windows

CVE-2020-17057

Windows Win32k权限提升漏洞

高危

微软   Windows

CVE-2020-17056

Windows网络文件系统信息泄露漏洞

高危

微软   Windows

CVE-2020-17055

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17010

Win32k权限提升漏洞

高危

微软   Windows

CVE-2020-17007

Windows错误报告权限提升漏洞

高危

微软   Windows

CVE-2020-17014

Windows Print   Spooler权限提升漏洞

高危

微软   Windows

CVE-2020-17025

Windows远程访问权限提升漏洞

高危

微软   Windows

CVE-2020-17024

Windows客户端渲染打印提供程序权限提升漏洞

高危

微软   Windows

CVE-2020-17013

Win32k信息泄露漏洞

高危

微软   Windows

CVE-2020-17011

Windows端口类库权限提升漏洞

高危

微软   Windows

CVE-2020-17012

Windows绑定筛选器驱动程序权限提升漏洞

高危

微软   Windows Codecs Library

CVE-2020-17106

HEVC视频扩展远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17101

HEIF Image   Extensions远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17105

AV1视频扩展远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17102

WebP图像扩展信息泄露漏洞

高危

微软   Windows Codecs Library

CVE-2020-17082

Raw Image   Extension远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17086

Raw Image   Extension远程代码实行漏洞

高危

微软   Windows Codecs Library

CVE-2020-17081

微软 Raw   Image Extension信息泄露漏洞

高危

微软   Windows Codecs Library

CVE-2020-17079

Raw Image   Extension远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17078

Raw Image   Extension远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17107

HEVC视频扩展远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17110

HEVC视频扩展远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17113

Windows Camera编解码器信息泄露漏洞

高危

微软   Windows Codecs Library

CVE-2020-17108

HEVC视频扩展远程代码实行漏洞

严重

微软   Windows Codecs Library

CVE-2020-17109

HEVC视频扩展远程代码实行漏洞

严重

Visual   Studio

CVE-2020-17104

Visual Studio   Code JSHint扩展远程代码实行漏洞

高危

Visual   Studio

CVE-2020-17100

Visual Studio篡改漏洞

高危

Windows   Defender

CVE-2020-17090

微软   Defender for Endpoint Security功能绕过漏洞

高危

Windows   Kernel

CVE-2020-17035

Windows内核权限提升漏洞

高危

Windows   Kernel

CVE-2020-17087

Windows内核本地权限提升漏洞

高危

Windows   NDIS

CVE-2020-17069

Windows NDIS信息泄露漏洞

高危

Windows   Update Stack

CVE-2020-17074

Windows Update   Orchestrator服务权限提升漏洞

高危

Windows   Update Stack

CVE-2020-17073

Windows Update   Orchestrator服务权限提升漏洞

高危

Windows   Update Stack

CVE-2020-17071

Windows   Delivery Optimization信息泄露漏洞

高危

Windows   Update Stack

CVE-2020-17075

Windows USO   Core Worker权限提升漏洞

高危

Windows   Update Stack

CVE-2020-17070

Windows Update   Medic服务权限提升漏洞

高危

Windows   Update Stack

CVE-2020-17077

Windows Update堆栈权限提升漏洞

高危

Windows   Update Stack

CVE-2020-17076

Windows Update   Orchestrator服务权限提升漏洞

高危

Windows   WalletService

CVE-2020-16999

Windows   WalletService信息泄露漏洞

高危

Windows   WalletService

CVE-2020-17037

Windows   WalletService权限提升漏洞

高危

  

本次发布的安全更新中,部分严重漏洞如下:

Windows NFS远程代码实行漏洞(CVE-2020-17051)

Windows NFS是一种网络文件系统,用户可以通过NFS访问网络上的文件并将它们像本地文件一样操作。攻击者可以利用此漏洞来访问系统,并远程实行恶意代码。该漏洞CVSS评分9.8。

漏洞详情如下:

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2020-17051

 

Windows cng.sys权限提升漏洞(CVE-2020-17087)

该漏洞的细节已在之前披露。

详情如下:

/new_type/aqtg/20201102/22021.html

 

0x02 处置建议

目前微软已发布安全更新,建议及时安装相关补丁。

(一) Windows update更新

自动更新:

微软 Update默认启用,当系统检测到可用更新时,将会自动下载更新并在下一次启动时安装。

手动更新:

1、点击“开始菜单”或按Windows快捷键,点击进入“设置”

2、选择“更新和安全”,进入“Windows更新”(Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新”,具体步骤为“控制面板”->“系统和安全”->“Windows更新”)

3、选择“检查更新”,等待系统将自动检查并下载可用更新。

4、重启计算机,安装更新系统重新启动后,可通过进入“Windows更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新,可以点击该更新名称进入MicroSoft官方更新描述链接,点击最新的SSU名称并在新链接中点击“微软 更新目录”,然后在新链接中选择适用于目标系统的补丁进行下载并安装。

 

(二) 手动安装更新

MicroSoft官方下载相应补丁进行更新。

下载地址:

https://msrc.microsoft.com/update-guide/en-us


0x03 参考链接

https://msrc.microsoft.com/update-guide/en-us

https://threatpost.com/microsoft-patch-tuesday-critical-bugs/161098/

https://www.theregister.com/2020/11/11/patch_tuesday_updates/

 

0x04 时间线

2020-11-10  微软发布安全更新

2020-11-11  VSRC发布安全通告

 

0x05 附录

 

CVSS评分标准官网:http://www.first.org/cvss/

 

image.png