微软十二月补丁星期二修复58个漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

今天，微软发布12月补丁星期二，修复了共计58个漏洞和一个关于微软产品的安全通告。在58个漏洞中，9个为“严重”级别，48个为“重要”级别，而2个为“中危”级别。

这次更新并不包含 0day 或此前已披露漏洞。

微软发布了由清华大学-奇安信联合团队以及加利福尼亚大学的安全研究员发现的一个 DNS缓存投毒漏洞安全公告。微软在 ADV 200013 中解释称，“微软发现由 IP 分段引起的 DNS 缓存投毒漏洞，影响 Windows DNS 解析器。成功利用该漏洞的攻击者可欺骗能被 DNS Forwarder 或 DNS 解析器缓存的 DNS 数据包。”

要解决这个漏洞，管理员需要修改 Registry，将 UDP 数据包的最大大小更改为1221字节。如 DNS 请求的大小大于1221 个字节，则 DNS 解析器将切换到 TCP连接。

虽然本月并未发布 0day，但有一些漏洞值得关注。奇安信 A-TEAM团队发现了高危的 Exchange远程代码执行漏洞 CVE-2020-17144，经认证的攻击者可利用该漏洞以系统权限在目标系统上执行任意代码。Hyper-V 远程代码执行漏洞 (CVE-2020-17095) 可导致在 Hyper-V 虚拟机中运行的恶意程序在主机上执行代码。Windows NTFS 远程代码执行漏洞 (CVE-2020-17096) 可遭利用以提权或远程经由 SMBv2 执行命令。Windows 锁屏安全功能绕过漏洞 (CVE-2020-17099) 可导致本地攻击者从锁定的 Windows 设备执行命令。

推荐阅读

Teams零点击可蠕虫跨平台 RCE 漏洞详情公开，微软评为低危且拒绝分配CVE被吐槽

微软补丁星期二修复120个漏洞，含2个已遭利用的 0day

原文链接

https://www.bleepingcomputer.com/news/security/microsoft-december-2020-patch-tuesday-fixes-58-vulnerabilities/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~