微软修复了五个零日漏洞

微软在其月度更新中发布了5个零日漏洞的修复程序，其中3个漏洞正在被积极利用。

威胁参与者目前针对的软件漏洞包括CVE-2023-36036，一个影响Microsoft Windows 10及更高版本和Microsoft Windows Server 2008及其更高版本的关键权限提升问题。

Action1联合创始人Mike Walters解释说:“该漏洞需要本地访问，复杂度低，无需高级权限或用户交互即可利用。成功利用允许攻击者获得系统级特权，使其成为初始访问后升级特权的理想工具，例如通过网络钓鱼。”

第二个被利用的零日漏洞是CVE-2023-36033，这是另一个特权提升漏洞，但这次是在Windows DWM核心库中。它也可以在本地使用，复杂度低，不需要高级权限或用户交互。

最后一个零日漏洞是CVE-2023-36025，这是Windows SmartScreen中的一个安全功能绕过漏洞，使攻击者能够绕过Windows Defender SmartScreen的检查和提示。

Walters说：“与前面提到的其他漏洞不同，这个漏洞具有网络攻击向量，需要用户交互，尽管它仍然保持较低的攻击复杂性，并且不需要高权限。”

要利用此漏洞，用户必须与恶意的互联网快捷方式(. URL)或指向该快捷方式的超链接进行交互。这种利用允许攻击者阻止Windows智能屏幕拦截恶意软件。

已公开披露但未被利用的两个零日是Microsoft Office中的安全功能绕过漏洞（CVE-2023-36413）和ASP中的拒绝服务漏洞（CVE-2023-36038）。

微软在周二发布的11月补丁中总共修复了58个软件漏洞，有三个被评为严重漏洞。