微軟修補六項零時差漏洞 均已遭駭客利用

本周的Patch Tuesday安全更新中,微軟修補了50項漏洞,包括6個已遭開採的Windows零時差漏洞,這也是微軟歷來被開採最多的一次。

本周的 Patch Tuesday 安全更新中,微軟修補了 50 項漏洞,包括 6 個已遭開採的 Windows 零時差漏洞,這也是微軟歷來被開採最多的一次。

這六項漏洞包括:

  • CVE-2021-33742 – Windows MSHTML 平台的遠端程式碼執行 (RCE) 漏洞
  • CVE-2021-31955 – Windows 核心資訊洩露
  • CVE-2021-31956 – Windows NTFS 權限升級漏洞
  • CVE-2021-31962 – Kerberos AppContainer 安全功能繞過漏洞
  • CVE-2021-31199 – Microsoft 增強型密碼編譯提供者 (Enhanced Cryptographic Provider) 權限升級漏洞
  • CVE-2021-31201 – Microsoft 增強型密碼編譯提供者 (Enhanced Cryptographic Provider) 權限升級漏洞

這些漏洞是由 Google 和卡巴斯基等安全廠商首先發現並通報微軟。微軟為了讓 IT 人員有更多時間安裝修補程式,以免被其他駭客乘虛而入,因此並未公佈這 6 項漏洞的技術細節。但兩家公司仍然透露了些許資訊。

最有趣的是 CVE-2021-33742,這項漏洞存在於 IE 瀏覽器中 MSHTML 引擎元件中。Google 威脅分析小組 (TAG) 主管 Shane Huntley 指出,他的部門發現這隻漏洞,所有跡象顯示它是由一個專業的攻擊程式中介商開發。這個漏洞似乎已經被一群國家駭客用來對東歐和中東發動數攻擊。他表示,Google 會在 30 天之內公佈漏洞細節。

二項零時差漏洞以最新版 Windows 10 為目標

卡巴斯基上個月發現 CVE-2021-31955 和 CVE-2021-31956。研究人員相信這兩項漏洞已被用來發動一宗複雜的攻擊鏈中,Chrome 可能也被當成入口之一。雖然他們尚未找到 Chrome 上的遠端程式碼執行漏洞,但是已經能找到和分析權限升級 (EoP) 漏洞,可用來逃出沙箱並取得系統權限。

二項 Windows 零時差漏洞皆位於 Windows 核心,它們值得一提的是,可以被稍稍改寫,就能攻入最新版 Windows 10(包括 RS5、19H1、19H2、20H1 及 20H2),表示攻擊者可能有意攻擊新式裝置。

二項零時差漏洞和上個月 Adobe Reader 零時差漏洞有關

此外,微軟修補的 CVE-2021-31199 及 CVE-2021-31201 則和上個月 Adobe 修補的零時差漏洞 CVE-2021-28550 有關。兩項漏洞都影響微軟一個密碼函式庫,甚至連最老舊的 Windows 7 和 Server 2012 都被影響。

不過 Adobe 和微軟都未透露攻擊的任何資訊。

來源:The Record

關於我們

自 1990 年創刊 UXmaster 雜誌,1991 年獲得美國 LAN Magazine 獨家授權中文版,2006 年獲得 CMP Network Computing 授權,2009 年合併 CMP Network Magazine 獨家授權中文版,2014 年轉型為《網路資訊》雜誌網站,為台灣中小企業協助技術領導者落實企業策略,了解網路規劃及應用,為企業網路應用、管理、MIS、IT 人員必備之專業雜誌網站。


與我們聯絡

加入《網路資訊》雜誌社群

© Copyright 2022 本站版權所有,禁止任意轉載 網路資訊雜誌 / 心動傳媒股份有限公司 聯絡電話:+886 2 29432416