十月补丁星期二值得关注的漏洞

最新推荐文章于 2024-04-28 16:43:22 发布
最新推荐文章于 2024-04-28 16:43:22 发布
阅读量226 收藏
点赞数
原文链接：https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247517841&idx=1&sn=996f3399f60a91c25395c5c879a049e1&chksm=ea94b7fbdde33eedc9257fadac74eda5188d3e34694eb6e3eb872b3d35e3d410c2e0cf04f03a&scene=126&sessionid=0
版权

e19a7adaf63ae5e32fb6cfacb97ff908.gif 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

十月补丁星期二Adobe和微软均发布安全更新。

485405ce6ba5ded5950097404c091b6a.png

aff290bc5a4c6c9f2669b351782f8089.png

Adobe 十月补丁日

6f04e14097c80fa867f0fbf2a562cbc4.png

10月份，Adobe 发布了三份安全公告，修复了位于 Adobe Photoshop、Bridge和Adobe Commerce 中的13个CVE漏洞。其中Commerce 本月修复的漏洞数量最多，共有10个‘’严重”和“重要”级别的漏洞，其中最严重的漏洞可导致攻击者通过SQL注入实现任意代码执行。Photoshop 更新修复了一个代码执行漏洞，可被攻击者通过说服用户打开特殊构造的文件以利用受影响系统。Adobe Bridge 修复了两个“严重”级别的漏洞。

Adobe 公司指出，以上漏洞均未遭公开披露或遭活跃利用，并将更新的部署优先级评级为3级。

b360d2325362af9d28b724b58b7acfaf.png

微软十月补丁星期二

f93710a69c27c92175f9b21aefe18491.png

微软本月共修复了104个漏洞，其中3个是已遭利用的0day漏洞。虽然仅修复了45个RCE漏洞，但微软仅将其中12个列为“严重”级别。微软本月修复的漏洞情况如下：

  • 26个提权漏洞

  • 3个安全特性绕过漏洞

  • 45个远程代码执行 (RCE) 漏洞

  • 12个信息泄露漏洞

  • 17个拒绝服务漏洞

  • 1个欺骗漏洞

这104个漏洞中并未包含Chromium 漏洞CVE-2023-5346。该漏洞由谷歌在10月3日修复并被导入微软Edge。

（1）   已遭利用的3个0day

CVE-2023-41763：Skeype for Business 提权漏洞。微软指出，“成功利用该漏洞的攻击者可查看一些敏感信息（机密性），但并非受影响组件中的所有资源可被泄露给攻击者。攻击者无法更改被泄露的信息（完整性）或者限制对资源的访问（可用性）。”

该漏洞是由 Florian Hauser 博士发现的，他指出这和自己在2022年9月发布的缺陷是一样的，但当时微软拒绝修复。一年之后微软终于修复。他提到，“可利用该漏洞在内部网络中触及系统。由于通常Skype 被暴露在公开互联网中，因此它本质上可导致攻击者攻陷互联网边界。”

CVE-2023-36563：微软WordPad 信息泄露漏洞。如在 WordPad 中打开一份文档，即可利用该漏洞窃取NTLM哈希。微软指出，“要利用这个漏洞，攻击者首先必须登录系统，之后运行特殊构造的应用程序以利用该漏洞并控制受影响系统。另外，攻击者可说服本地用户打开恶意文件。攻击者必须说服用户点击链接（通常包含在邮件或即时消息中），之后说服用户打开特殊构造的文件。”这些NTLM 哈希可被破解或用于NTLM中继攻击中，获得对账户的访问权限。

该漏洞是由微软威胁情报团队内部发现的，似乎是上月修复的CVE-2023-36761的补救。

CVE-2023-44487：HTTP/2快速重置攻击。微软为一种新的 0day DDoS 攻击技术 “HTTP/2 快速重置 (Rapid Reset)” 发布缓解措施。该攻击自8月就已遭活跃利用，打破了此前所有记录。该攻击利用 HTTP/2的刘取消特性，继续发送并取消请求，冲击目标服务器/应用并施加 DoS 状态。由于该特性内置于 HTTP/2 标准中，因此并不存在修复方案，仅能通过速率限制或拦截该协议。

微软给出的安全公告是禁用 web 服务器上的 HTTP/2 协议，另外还发布文章交代了更多详情。该漏洞是由 Cloudflare、亚马逊和谷歌联合披露的。

微软表示，CVE-2023-41763和CVE-2023-36563均已公开披露。

（2）   其它值得关注的漏洞

CVE-2023-36434 是Windows IIS 服务器提权漏洞，CVSS 评分为9.8。成功利用该漏洞的攻击者可以其它用户身份登录受影响的IIS 服务器。由于该漏洞无需暴力攻击因此微软并未将其评级为“严重”等级，但当前暴力攻击可轻易自动化实施。因此，如果用户运行的是IIS，则应将其视作重要更新并快速修复。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

补丁星期二：微软、Adobe和Firefox纷纷修复已遭利用的 0day 漏洞

工控补丁星期二：西门子、施耐德电气等修复50个漏洞

微软7月补丁星期二修复132个漏洞：5个已遭利用0day且1个无补丁

微软6月补丁星期二值得关注的漏洞

洞少事大：微软5月补丁星期二需关注的漏洞

原文链接

https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2023-patch-tuesday-fixes-3-zero-days-104-flaws/

https://www.zerodayinitiative.com/blog/2023/10/10/the-october-2023-security-update-review

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

bd055ec2a0b06d20df6feb75941dfe7a.jpeg

41c14f607a043f21797037691dbbfef0.jpeg

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   b96d74644817e815cd39027d8c1a32d7.gif 觉得不错，就点个 “在看” 或 "赞” 吧~

奇安信代码卫士
关注
Windows CVE漏洞与补丁号对应关系
hudi2011的博客
07-13 3306
2021.2，微软官方高兴地公布再也不需要通过Key来调用MSUG API（Microsoft Security Update Guide API）了。因此本文简单介绍一下通过这个接口建立一个自动化的CVE&KB数据库任务。 Windows每月补丁都会有一个年份-月份的CVRF_ID，比如2020-Aug即表示2020年8月份的补丁，要获取其相关信息需要请求接口： curl -X GET --header 'Accept: application/json' 'https://api.msrc
Windows RPC 运行时中的严重远程代码执行漏洞
技术超强的网络安全平台
08-23 640
微软于 2022 年 4 月的补丁星期二发布了针对各种组件中一百多个新漏洞的补丁。在这篇博文中，我们将提供有关其中两个漏洞的信息、其利用的含义、影响范围以及如何缓解这些漏洞。我们最近撰写了一篇关于的指南，这是一种用于限制和阻止 Windows 机器上和之间的 RPC 流量的工具。虽然我们尚未确定 RPC 过滤器是否是针对所讨论漏洞的适用解决方案，但我们建议阅读该博客以更好地了解该机制。
HTTP/2 中的漏洞CVE-2023-44487
热门推荐
2301_80115097的博客
10-19 1万+
最近安全圈公布了一个利用 HTTP/2 快速重置机制进行 DDoS 攻击的 0day 漏洞，，鉴于 HTTP/2 协议已经在 Internet 上广泛使用，所以该漏洞一经发布，在业界引起广泛关注。我们介绍过，雷池 WAF 使用 Nginx 作为其代理模式下的流量转发引擎，Nginx 已经在其官网介绍了。简单来说，Nginx 作为一款久经考验的，其本身就提供过了多种方式来缓解 DDoS 攻击。需要说明的是，Nginx 1.19.7 及其之后版本是通过。
【OPNEGIS】Geoserver原地升级jetty，解决Apache HTTP/2拒绝服务漏洞 (CVE-2023-44487)
zhoulizhu的博客
12-11 5143
Geoserver是我们常用的地图服务器，在开源系统中的应用比较广泛。在实际环境中，我们可能会选用官方的二进制安装包进行部署，这样只要服务器上有java环境就可以运行，方便在现场进行部署。
漏洞验证：HTTP/2的快速重置DOS攻击（CVE-2023-44487）
weixin_53523921的博客
10-24 2879
攻击者就可以利用该漏洞，通过持续的HEADERS、RST_STREAM帧组合，来消耗 服务器 资源，进而影响 服务器 正常请求的处理，造成 DDoS 攻击。
CVE-2023-44487 HTTP2漏洞
hackzkaq的博客
11-02 2322
最近安全圈公布了一个利用 HTTP/2 快速重置机制进行 DDoS 攻击的 0day 漏洞，CVE-2023-44487，鉴于 HTTP/2 协议已经在 Internet 上广泛使用，所以该漏洞一经发布，在业界引起广泛关注。之前文章我们介绍过，雷池 WAF 使用 Nginx 作为其代理模式下的流量转发引擎，Nginx 已经在其官网介绍了该漏洞对 Nginx 的影响。简单来说，Nginx 作为一款久经考验的，其本身就提供过了多种方式来缓解 DDoS 攻击。：保持默认配置 1000：保持默认配置 128。
Burpsuite 指纹特征绕过
Javachichi的博客
12-05 2145
需要高版本 17 + 的 burp 运行插件，可 bypass 网站流量设备的检测，正常抓包。未使用插件前，burp 指纹特征被识别，抓包被拦截。
Microsoft-Patch-Tuesday-Security-Reports:Microsoft补丁星期二安全报告
05-22
微软的“补丁星期二”是每月定期发布的一次安全更新活动，旨在修复其操作系统和其他软件产品中的安全漏洞。这个事件通常在每个月的第二个星期二进行，因此也被称为“Update Tuesday”。微软通过这种方式确保用户及时...
CVE-2018-8120-exp.zip_C++_CVE-2018-8120_cve_漏洞利用
09-23
微软在2018年5月的补丁星期二活动中发布了针对CVE-2018-8120的安全更新。对于未打补丁的系统，以下是一些防范建议： 1. **安装官方补丁**：及时更新操作系统，安装微软发布的安全补丁，这是最直接的防御方式。 2. *...
漏洞通告 | Oracle发布7月更新, 修复墨云科技报告的高危漏洞
Moyun_vackbot的博客
07-21 396
Oracle发布2022年7月补丁更新, 修复了由墨云科技报告的一个高危漏洞，墨云科技建议广大用户做好资产自查以及预防工作，以免遭受恶意攻击。
HTTP/2 中的漏洞
ptsecurity的博客
10-11 3586
要利用该漏洞，攻击者需要在 HTTP/2 会话中打开大量请求，然后在不等待服务器响应的情况下，使用RST_STREAM 请求中断连接。利用该漏洞可以在客户端负载最小的情况下，向服务器发送大量请求流，从而导致系统拒绝服务。Apache 软件基金会发布了 Tomcat 的更新，F5 发布了 Nginx 的更新。该漏洞与 HTTP/2 协议实施中的一个缺陷有关，可用于实施 DDoS 攻击。使用该漏洞的攻击被命名为 HTTP/2 快速重置。如果安装了最新的知识库更新，将自动识别易受攻击的资产。
漏洞CVE-2023-44487 HTTP2
zkaqlaoniao的博客
10-31 1946
最近安全圈公布了一个利用 HTTP/2 快速重置机制进行 DDoS 攻击的 0day 漏洞，CVE-2023-44487，鉴于 HTTP/2 协议已经在 Internet 上广泛使用，所以该漏洞一经发布，在业界引起广泛关注。之前文章我们介绍过，雷池 WAF 使用 Nginx 作为其代理模式下的流量转发引擎，Nginx 已经在其官网介绍了该漏洞对 Nginx 的影响。简单来说，Nginx 作为一款久经考验的，其本身就提供过了多种方式来缓解 DDoS 攻击。：保持默认配置 1000：保持默认配置 128。
CVE-2023-44487漏洞修复
单调枯燥的CC的博客
04-28 1585
CVE-2023-44487漏洞修复
Zookeeper处理jetty CVE-2023-44487漏洞
lanluyug的博客
03-01 1336
Apache HTTP/2拒绝服务漏洞（CVE-2023-44487） jetty/9.4.52.v20230823。直接在zookeeper安装目录下lib里替换jetty相关的包。重启zookeeper。
深入分析漏洞原理- CVE-2023-44487 HTTP2
2301_80115097的博客
10-31 722
最近安全圈公布了一个利用 HTTP/2 快速重置机制进行 DDoS 攻击的 0day 漏洞，CVE-2023-44487，鉴于 HTTP/2 协议已经在 Internet 上广泛使用，所以该漏洞一经发布，在业界引起广泛关注。之前文章我们介绍过，雷池 WAF 使用 Nginx 作为其代理模式下的流量转发引擎，Nginx 已经在其官网介绍了该漏洞对 Nginx 的影响。简单来说，Nginx 作为一款久经考验的，其本身就提供过了多种方式来缓解 DDoS 攻击。：保持默认配置 1000：保持默认配置 128。
微软10月补丁 | 修复103个漏洞，包括2个零日漏洞，13个严重漏洞
FreeBuf_的博客
10-12 1811
这两个零日漏洞中，一个标识为CVE-2023-36563，涉及Microsoft WordPad，其漏洞评分为6.5，可能导致NTLM哈希的泄露。另一个是CVE-2023-41763，关联Skype for Business，漏洞评分为5.3，可能导致IP地址或端口号等敏感信息的泄露，从而使威胁行为者能够进入内部网络。此外，微软还发布了一个关于CVE-2023-44487的更新，也被称为HTTP/2Rapid Reset攻击，此漏洞已被未知的攻击者作为零日漏洞用于进行大容量分布式拒绝服务（DDoS）攻击。
ssm智能家政保洁预约系统最新完整版程序+论文.zip
10-18
基于SSM框架的智能家政保洁预约系统，是一个旨在提高家政保洁服务预约效率和管理水平的平台。该系统通过集成现代信息技术，为家政公司、家政服务人员和消费者提供了一个便捷的在线预约和管理系统。 系统的主要功能包括： 1. **用户管理**：允许消费者注册、登录，并管理他们的个人资料和预约历史。 2. **家政人员管理**：家政服务人员可以注册并更新自己的个人信息、服务类别和服务时间。 3. **服务预约**：消费者可以浏览不同的家政服务选项，选择合适的服务人员，并在线预约服务。 4. **订单管理**：系统支持订单的创建、跟踪和管理，包括订单的确认、完成和评价。 5. **评价系统**：消费者可以在家政服务完成后对服务进行评价，帮助提高服务质量和透明度。 6. **后台管理**：管理员可以管理用户、家政人员信息、服务类别、预约订单以及处理用户反馈。 系统采用Java语言开发，使用MySQL数据库进行数据存储，通过B/S架构实现用户与服务的在线交互。系统设计考虑了不同用户角色的需求，包括管理员、家政服务人员和普通用户，每个角色都有相应的权限和功能。此外，系统还采用了软件组件化、精化体系结构、分离逻辑和数据等方法，以便于未来的系统升级和维护。 智能家政保洁预约系统通过提供一个集中的平台，不仅方便了消费者的预约和管理，也为家政服务人员提供了一个展示和推广自己服务的机会。同时，系统的后台管理功能为家政公司提供了强大的数据支持和决策辅助，有助于提高服务质量和管理效率。该系统的设计与实现，标志着家政保洁服务向现代化和网络化的转型，为管理决策和控制提供保障，是行业发展中的重要里程碑。
东方财富网抓取上市公司爬虫-EMSpider.zip
最新发布
10-18
东方财富网抓取上市公司爬虫-EMSpider
卫生健康系统-java-基于springBoot智能推荐的卫生健康系统（毕业论文+开题）
10-18
本基于智能推荐的卫生健康系统有管理员和用户两个角色。用户功能有个人中心，健康视频管理，视频类型管理，科室类型管理，医生信息管理，在线预约管理，我的收藏管理等。管理员功能有个人中心，用户管理，健康视频管理，视频类型管理，科室类型管理，医生信息管理，在线预约管理，健康论坛管理，我的收藏管理，留言板管理，系统管理等。因而具有一定的实用性。 本站是一个B/S模式系统，采用Spring Boot框架，MYSQL数据库设计开发，充分保证系统的稳定性。系统具有界面清晰、操作简单，功能齐全的特点，使得基于智能推荐的卫生健康系统管理工作系统化、规范化。
WebLogic **.*.*.*.0 安全漏洞补丁发布
在这次提到的补丁中，特别提到了一个特定的安全漏洞，即2020年10月发现的Weblogic反序列化漏洞。反序列化漏洞是指通过应用程序的反序列化过程，攻击者可以构造特定的数据内容，使得应用程序在处理这些数据时执行恶意...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值