信息安全 当前位置: 网址首页 >> 信息安全 >> 正文 >

多处信息泄漏漏洞及脚本引擎ExcelJet RCE预警

发布时间:2019-10-10 浏览次数:

0x00漏洞背景

2019年10月09日,微软例行发布了10月份的安全更新。此次安全更新主要涵盖了Windows操作系统、IE/Edge浏览器、脚本引擎/ChakraCore、Excel/SharePoint、Jet Database、Windows Update Assistant(windows升级服务)。总计包含59个CVE,9个高危漏洞,49个中危漏洞。但此次的更新微软表示没有发现有任何一个漏洞处于被公开使用和研究的阶段。

  • 脚本引擎远程代码执行漏洞

  • Azure App服务远程代码执行漏洞

  • IIS服务器权限提示漏洞

  • W10 Mobile安全特性绕过漏洞

  • RDP Client远程代码执行漏洞

  • Excel远程代码执行漏洞

360CERT判断此次安全更新针对的漏洞影响面广,尚无漏洞被用于攻击利用。

但依旧建议广大用户及时更新系统并安装windows补丁,做好预防工作,以免遭受攻击。

0x01漏洞详情

Azure App服务远程代码执行漏洞

CVE-2019-1372该漏洞虽然被归类为RCE但实际的效果更贴近EoP(权限提升)。攻击成功的情况下允许攻击者在系统层级执行代码,这让攻击者可以实现的沙箱逃逸。

IIS服务器权限提升漏洞

CVE-2019-1465IIS中存在的缓冲区溢出漏洞。攻击成功的情况下允许攻击者在系统层级执行代码,这让攻击者可以实现的沙箱逃逸。

Win10 Mobile安全特性绕过漏洞

CVE-2019-1314Cortana中的一个漏洞,攻击成功的情况下允许攻击者从锁定屏幕访问设备上的文件。(需要设备进行物理访问)

脚本引擎远程代码执行漏洞

涵盖了两个脚本引擎VBScript以及Chakra。攻击成功的情况下允许攻击者在相应的用户权限下远程执行任意代码。

  • CVE-2019-1060 VBScript

  • CVE-2019-1238 VBScript

  • CVE-2019-1239 VBScript

  • CVE-2019-1307 Chakra

  • CVE-2019-1308 Chakra

RDP客户端远程代码执行漏洞

CVE-2019-1333RDP客户端,攻击成功的情况下允许攻击者在相应的用户权限下远程执行任意代码。

Excel远程代码执行漏洞

Microsoft Excel,攻击成功的情况下允许攻击者在相应的用户权限下远程执行任意代码。

  • CVE-2019-1327

  • CVE-2019-1331

多个信息泄漏漏洞

攻击成功的情况下允许攻击者在获得一些用户PC/服务器上的敏感信息或者文件内容。

  • CVE-2019-1230 Hyper-V信息泄漏

  • CVE-2019-1313 SQL Server Management Studio信息泄漏

  • CVE-2019-1376 SQL Server Management Studio信息泄漏

  • CVE-2019-1334 Windows内核信息泄漏

  • CVE-2019-1337 Windows更新客户端信息泄漏

  • CVE-2019-1361 Microsoft Graphics Components信息泄漏

  • CVE-2019-1363 Windows GDI信息泄漏

  • CVE-2019-1369 Open Enclave SDK信息泄漏

0x02修复建议

360CERT建议通过安装360安全卫士进行一键更新。

应及时进行Microsoft Windows版本更新并且保持Windows自动更新开启,也可以通过下载参考链接中的软件包,手动进行升级。

用户可以通过下载参考链接中的软件包,手动进行升级。

windows server / windows检测并开启Windows自动更新流程如下

  • 点击开始菜单,在弹出的菜单中选择“控制面板”进行下一步。

  • 点击控制面板页面中的“系统和安全”,进入设置。

  • 在弹出的新的界面中选择“windows update”中的“启用或禁用自动更新”。

  • 然后进入设置窗口,展开下拉菜单项,选择其中的自动安装更新(推荐)。

0x03时间线

2019-10-08微软官方发布安全公告

2019-10-09 360CERT发布预警

0x04参考链接

October 2019 Security Updates

Security Update Guide

Zero Day Initiative — The October Security Update Review

版权所有:长春工程学院现代教育技术中心