了解最新公司動(dòng)態(tài)及行業(yè)資訊
微軟官方發(fā)布了2024年04月的安全更新。本月更新公布了157個(gè)漏洞,包含67個(gè)遠(yuǎn)程執(zhí)行代碼漏洞、31個(gè)特權(quán)提升漏洞、29個(gè)安全功能繞過漏洞、13個(gè)信息泄露漏洞、7個(gè)拒絕服務(wù)漏洞、5個(gè)身份假冒漏洞,其中3個(gè)漏洞級(jí)別為“Critical”(高危),145個(gè)為“Important”(嚴(yán)重)。建議用戶及時(shí)使用火絨安全軟件(個(gè)人/企業(yè))【漏洞修復(fù)】功能更新補(bǔ)丁。
涉及組件
.NET and Visual Studio
Azure
Azure AI Search
Azure Arc
Azure Compute Gallery
Azure Migrate
Azure Monitor
Azure Private 5G Core
Azure SDK
Internet Shortcut Files
Microsoft Azure Kubernetes Service
Microsoft Brokering File System
Microsoft Defender for IoT
Microsoft Edge (Chromium-based)
Microsoft Install Service
Microsoft Office Excel
Microsoft Office Outlook
Microsoft Office SharePoint
Microsoft WDAC ODBC Driver
Microsoft WDAC OLE DB provider for SQL
Role: DNS Server
Role: Windows Hyper-V
SQL Server
Windows Authentication Methods
Windows BitLocker
Windows Compressed Folder
Windows Cryptographic Services
Windows Defender Credential Guard
Windows DHCP Server
Windows Distributed File System (DFS)
Windows DWM Core Library
Windows File Server Resource Management Service
Windows HTTP.sys
Windows Internet Connection Sharing (ICS)
Windows Kerberos
Windows Kernel
Windows Local Security Authority Subsystem Service (LSASS)
Windows Message Queuing
Windows Mobile Hotspot
Windows Proxy Driver
Windows Remote Access Connection Manager
Windows Remote Procedure Call
Windows Routing and Remote Access Service (RRAS)
Windows Secure Boot
Windows Storage
Windows Telephony Server
Windows Update Stack
Windows USB Print Driver
Windows Virtual Machine Bus
Windows Win32K - ICOMP
以下漏洞需特別注意
代理驅(qū)動(dòng)程序欺騙漏洞
CVE-2024-26234
嚴(yán)重級(jí)別:嚴(yán)重 CVSS:6.7
被利用級(jí)別:檢測(cè)到利用
該漏洞已檢測(cè)到在野利用,無需用戶交互,但攻擊者需要高權(quán)限才能利用此漏洞?;鸾q工程師建議及時(shí)安裝補(bǔ)丁進(jìn)行修復(fù)。
SmartScreen 提示安全功能繞過漏洞
CVE-2024-29988
嚴(yán)重級(jí)別:嚴(yán)重 CVSS:8.8
被利用級(jí)別:很有可能被利用
該漏洞需要用戶交互。成功利用此漏洞的攻擊者需要誘使用戶點(diǎn)擊惡意鏈接或運(yùn)行惡意文件,才會(huì)繞過系統(tǒng)保護(hù)機(jī)制,使 SmartScreen 提示失效。
Windows 啟用電話服務(wù)器特權(quán)提升漏洞
CVE-2024-26239/CVE-2024-26230
嚴(yán)重級(jí)別:嚴(yán)重 CVSS:7.8
被利用級(jí)別:很有可能被利用
該漏洞不需要用戶交互。成功利用此漏洞的攻擊者可提升受攻擊系統(tǒng)賬戶的權(quán)限至 SYSTEM 權(quán)限執(zhí)行任意代碼。
Microsoft Defender for IoT 遠(yuǎn)程代碼執(zhí)行漏洞
CVE-2024-21323
嚴(yán)重級(jí)別:高危 CVSS:8.8
被利用級(jí)別:有可能被利用
該漏洞不需要用戶交互。攻擊者需要驗(yàn)證自己的身份并獲得啟動(dòng)更新過程所需的權(quán)限,通過網(wǎng)絡(luò)向 Defender for IoT 傳感器發(fā)送惡意更新包覆蓋他們選擇的任何文件來利用此漏洞。這可能導(dǎo)致攻擊者在目標(biāo)計(jì)算機(jī)上遠(yuǎn)程執(zhí)行任意代碼。
Microsoft Azure Kubernetes Service Confidential Container特權(quán)提升漏洞
CVE-2024-29990
嚴(yán)重級(jí)別:嚴(yán)重 CVSS:9.0
被利用級(jí)別:有可能被利用
該漏洞不需要用戶交互。利用此漏洞的攻擊者通過訪問不受信任的 AKS Kubernetes 節(jié)點(diǎn)和 AKS 機(jī)密容器以及 AKSCC 內(nèi)運(yùn)行的應(yīng)隔離和保護(hù)的應(yīng)用程序,該行為可能會(huì)竊取憑據(jù),并影響 Azure Kubernetes Service Confidential Containers (AKSCC) 管理的安全范圍之外的資源?;鸾q工程師建議用戶及時(shí)更新 az confcom 和 Kata Image 到最新版本。
Azure CycleCloud特權(quán)提升漏洞
CVE-2024-29993
嚴(yán)重級(jí)別:嚴(yán)重 CVSS:8.8
被利用級(jí)別:有可能被利用
該漏洞不需要用戶交互。利用此漏洞的攻擊者必須擁有分配了用戶角色的賬戶。成功利用此漏洞的攻擊者可以將賬戶權(quán)限提升到受影響的 Azure CycleCloud 實(shí)例中的超級(jí)用戶角色。
修復(fù)建議
下載微軟官方提供的補(bǔ)丁
https://msrc.microsoft.com/update-guide
完整微軟通告:
https://msrc.microsoft.com/update-guide/releaseNote/2024-Apr
上一篇:沒有了!
接收到信息第一時(shí)間與您聯(lián)系
請(qǐng)輸入您的聯(lián)系電話,座機(jī)請(qǐng)加區(qū)號(hào)