社区编辑申请
注册/登录
请立即更新Windows,这些零日漏洞已经修复
安全
微软于本周二发布了10月的“周二补丁”更新,修复了包括Windows系统和其它软件中的71个漏洞,其中包括4个零日漏洞。

微软于本周二发布了10月的“周二补丁”更新,修复了包括Windows系统和其它软件中的71个漏洞,其中包括4个零日漏洞。

这些零日漏洞中,除CVE-2021-40449外,另外3个在补丁发布之前就已为公众所知。这4个零日漏洞分别是:

  • CVE-2021-40449(CVSS 评分:7.8)- Win32k 提权漏洞
  • CVE-2021-41335(CVSS 评分:7.8)——Windows 内核特权提升漏洞
  • CVE-2021-40469(CVSS 评分:7.2)——Windows DNS 服务器远程代码执行漏洞
  • CVE-2021-41338(CVSS 评分:5.5)——Windows AppContainer 防火墙规则安全功能绕过漏洞。

排在首位的CVE-2021-40449,由卡巴斯基在2021年8月下旬至9月初发现,被广泛用于针对IT公司、国防承包商和外交部门的间谍活动。卡巴斯基将这类威胁称为“神秘蜗牛”(MysterySnail),其公司研究人员Boris Larin和Costin Raiu在一篇技术文章中表示,攻击者利用该漏洞部署远程访问木马,该木马能够从受感染主机收集和泄露系统信息,然后再联系其C2服务器以获取进一步指令。

其他值得注意的漏洞包括影响Microsoft Exchange Server(CVE-2021-26427)、Windows Hyper-V(CVE-2021-38672和CVE-2021-40461)、SharePoint服务器(CVE-2021-40487和CVE-2021-41344)和Microsoft Word(CVE-2021-40486)的远程代码执行漏洞,以及富文本编辑控制(CVE-2021-40454)的信息泄露漏洞。

CVE-2021-26427的CVSS评分高达9.0,网络安全公司Qualys的漏洞和威胁研究高级经理Bharat Jogi强调:Exchange服务器是黑客入侵商业网络的高价值目标。

另外,此次更新修复了Print Spooler 组件中发现的两个缺陷(CVE-2021-41332和CVE-2021-36970),每个缺陷都涉及信息泄露漏洞和欺骗漏洞,这些漏洞已被标记为“更具有可利用性”。安全研究员ollypwn在Twitter上发帖指出:欺骗性漏洞攻击者可以冒充或识别为另一个用户,并通过滥用Spooler服务将任意文件上传至其它服务器。

对于用户而言,首先应该修复哪些漏洞?英国网络安全技能平台Immersive Labs的网络威胁研究主管Kevin Breen认为:“我们总是建议首先修补任何被积极利用的漏洞。权限提升漏洞的得分总是低于远程代码执行,但攻击者一旦获得初始访问权限就会更常使用,所以不要让原始CVSS得分高低成为漏洞修补的顺序考量。”

参考来源:

  • https://thehackernews.com/2021/10/update-your-windows-pcs-immediately-to.html
  • https://www.helpnetsecurity.com/2021/10/12/patch-tuesday-cve-2021-40449/

 

责任编辑:赵宁宁 来源: FreeBuf
相关推荐

2022-06-16 08:46:30

漏洞黑客微软

2022-06-29 08:13:36

漏洞网络攻击网络安全

2022-06-20 13:34:46

漏洞网络攻击

2022-06-20 14:57:50

漏洞安全威胁

2022-05-11 14:41:18

微软零日漏洞Windows

2022-04-15 14:47:10

零日漏洞漏洞网络攻击

2022-06-06 14:17:15

零日漏洞恶意软件网络攻击

2022-05-17 14:50:35

漏洞苹果零日漏洞

2022-06-07 09:59:21

网络安全安全漏洞

2022-04-02 19:18:12

漏洞黑客

2022-06-07 11:20:33

零日漏洞漏洞网络攻击

2022-03-28 18:30:54

零日漏洞Chrome

2022-05-27 10:00:06

C++游戏引擎

2022-06-09 06:57:53

Windows 10Windows 11微软

2022-06-29 09:19:09

静态代码C语言c代码

2022-06-16 17:02:49

微软智能云混合云Azure

2022-05-26 07:18:54

Windows 11RTM22H2

2022-06-17 11:24:52

2022-06-09 18:04:46

网络攻击网络安全

2022-06-14 23:34:10

Linux安全服务器

同话题下的热门内容

超低成本 DDoS 攻击来袭,看 WAF 如何绝地防护都怪二维码,造就了网友们的社死现场...2022年上半年五大勒索软件攻击事件谁家的加密密钥,写死在代码里?就因为QQ登录二维码,全网发生了大规模的社死黑客组织对印度政府发动了网络攻击如何最大限度提升智能建筑中的网络安全?监管机构禁令频发,谷歌将被禁止追踪数百万用户数据

编辑推荐

付费成人网站OnlyFans数百名创作者内容泄露,可能有你关注的YouTube博主2019年最近发现的网络安全事件权威解读 | 网络安全等级保护2.0标准体系以及主要标准2019年网络安全事件回顾(国际篇)2019年网络安全事件回顾(国内篇)
我收藏的内容
点赞
收藏

51CTO技术栈公众号