微软发布“补丁星期二”修复 0day 漏洞

翻译：360代码卫士团队

微软发布9月份的“补丁星期二”，修复了60多个漏洞，其中包括一个经研究员披露后不久就遭恶意利用的 0day 漏洞。

这个已遭利用的 0day 漏洞是 CVE-2018-8440，它是由网络昵称为 SandboxEscaper 的研究员在8月27日披露的。研究人员因受挫于微软公司的漏洞报告流程而选择在推特上率先公开。

微软指出，该权限提升漏洞在 Windows 对任务调度程序的 ALPC 接口的调用处理不当时出现，它可遭认证攻击者提升权限后执行。ESET 公司表示，新出现的黑客组织 PowerPool 使用经修改的公开利用代码版本向位于美国、英国、德国、乌克兰、治理、印度、俄罗斯、菲律宾和波兰的少量用户传播。

微软在周二修复的三个其它漏洞在修复方案公布前已遭公开，但均未遭在野利用。

其中一个是严重漏洞 CVE-2018-8475，可导致攻击者通过让 Windows 目标用户执行一个特殊构造的图像文件的方式执行任意代码。趋势科技 ZDI 发布文章指出，“微软并未提及该漏洞在何时遭公开，但鉴于漏洞的严重程序以及相对容易遭利用的情况，该漏洞将很快遭利用工具包利用。”

另外一个被披露的严重漏洞是 CVE-2018-8457，它影响微软的 web 浏览器，可通过让目标访问恶意网站的方式执行任意代码。

最后一个被公开披露的漏洞是一个“重要的”DoS 问题，影响 .NET Core、ASP.NET Core 和 System.IO.Pipelines 组件。

微软此次共修复17个被评为“严重”等级的漏洞，包括影响 Windows、Web 浏览器和 .NET 框架的漏洞。其中两个值得琢磨的漏洞是 CVE-2018-0965 和 CVE-2018-8439。它们均影响 Windows Hyper-V，且允许攻击者访问 guest 虚拟机执行主机操作系统上的代码。

Adobe 和 SAP也发布了各自的补丁星期二更新。Adobe 修复了存在于 Flash Player 和 ColdFusion 中的10个漏洞，而 SAP 修复多款产品中的14个漏洞。

原文链接

https://www.securityweek.com/microsoft-patches-windows-zero-day-disclosed-twitter

本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。