补丁星期二- 2023年10月

最后更新于2023年10月13日(星期五)19:49:54 GMT

今年10月，微软正在解决105个漏洞 Patch Tuesday, 包括三个零日漏洞, 以及12个关键的远程代码执行(RCE)漏洞, 还有一个重新发布的第三方漏洞.

写字板:零日NTLM哈希披露

周二又一个补丁, 另一个提供NTLM散列泄露的零日漏洞, 这次是在写字板上. 建议: cve - 2023 - 36563 描述了两种可能的攻击媒介:

1. 引诱用户打开通过电子邮件发送的特制恶意文件, IM, 或者其他方式, or;
2. 通过使自定义应用程序运行.

该建议本身并没有提供更多细节, 而是要充分利用, 攻击者要么需要事先访问系统, 或者通过某种方式将NTLM散列作为攻击的一部分. 微软已经发布了关于攻击机制的更多细节 KB5032314，以及缓解战略. 写字板是脆弱的，因为它使用了OleConvertOLESTREAMToIStorage和OleConvertOLESTREAMToIStorageEx Windows API函数, 因此，使用这些函数的其他应用程序可能也是如此.

也许是巧合，也许不是巧合 announced 上个月，写字板不再更新, 并将在未来的Windows版本中删除, 尽管目前还没有给出具体的时间表. 不出所料，微软推荐Word作为写字板的替代品.

Skype for Business服务器:零日信息泄露

负责Skype for Business服务器的防御者应该注意存在公开利用代码的野外利用信息泄露漏洞. 成功开发 cve - 2023 - 41763 通过特制的网络呼叫可能导致IP地址和/或端口号的泄露. 不过微软并没有具体说明披露的范围, it will presumably be limited to whatever the Skype for Business server can see; as always, 适当的网络分段将为纵深防御带来好处.

ASP.. NET红隼web服务器:零日拒绝服务

本月被利用的三种漏洞还包括:面向ASP的跨平台Kestrel web服务器.. NET Core收到一个修复 cve - 2023 - 44487，拒绝服务漏洞.

cve - 2023 - 44487 也许防御者不太关心，除非Kestrel实例是面向互联网的. 被称为“HTTP/2快速重置”, 这个漏洞并不是微软特有的, 而是HTTP/2所固有的. 攻击者滥用HTTP/2请求取消的限制，以极低的代价给服务器带来严重的负载.

在咨询中, 微软基本上没有提供任何关于攻击向量的信息，除了这个漏洞是特定于HTTP/2的事实 , 但它提出了两种潜在的解决方案:

1. Disabling the HTTP/2 protocol via a Windows Registry modification; and/or
2. 限制每个红隼端点提供的协议，以排除HTTP/2.

降级到HTTP/1.1可能会导致性能显著下降. 微软建议及时打补丁，无论是否应用了变通方法.

N.B. In the 微软咨询，附加到“变通方法”一词的超链接不会解析到任何特定的内容，并且 Kestrel 不止一次被拼错为“Kestral”，尽管这些问题可能很快就会解决.

第二层隧道协议:许多关键的rce

12个关键的RCE漏洞看起来很多，事实也确实如此. 其中四分之三的漏洞都在同一个Windows组件中——第二层隧道协议(Layer 2 Tunneling Protocol)——最近几个月，该协议已经收到了大量关键rce的修复. 利用每个第2层隧道协议关键rce本月 cve - 2023 - 41765 CVE-2023-41767 cve - 2023 - 41768 cve - 2023 - 41769 CVE-2023-41770 cve - 2023 - 41771 cve - 2023 - 41773 CVE-2023-41774 and cve - 2023 - 38166 -是通过一个特制的协议消息发送到路由和远程访问服务(RRAS)服务器.

如果还有一线希望的话, it’s that the acknowledgements for almost all of these vulnerabilities cite Microsoft’s Network Security and Containers (NSC) team; a reasonable inference is that Microsoft is directing significant resources towards security research and patching in this area. 因为cve通常是按顺序分配的, 序列中也有间隙, 另一个合理的推断是，其他类似的尚未发布的漏洞可能已经被识别并报告给MSRC.

Windows MSMQ:临界rce

cve - 2023 - 35349 描述消息队列服务中的RCE漏洞. 微软没有描述攻击媒介, 但其他类似的漏洞要求攻击者向MSMQ服务器发送特制的恶意MSMQ数据包. 一个缓解因素是:必须启用Microsoft消息队列服务，并在端口1801上侦听易受攻击的资产, 默认情况下不安装消息队列服务. As Rapid7注意到 previously, however, 许多应用程序——包括Microsoft Exchange——可能会悄悄地将MSMQ引入到它们自己的安装程序中.

另一个MSMQ RCE漏洞也在本月收到了补丁: cve - 2023 - 36697 有一个较低的CVSS分数比它的兄弟, 都是因为需要有效的域凭据, 因为利用需要目标机器上的用户连接到恶意服务器. Alternatively, 微软建议，攻击者可以破坏合法的MSMQ服务器主机，并使其作为恶意服务器运行以利用此漏洞, 尽管目前还不清楚攻击者如何在没有对MSMQ主机进行重大控制的情况下做到这一点.

Microsoft vTPM:容器逃逸

本月修补的十二个关键RCE漏洞的最后一个组成部分相当奇特: cve - 2023 - 36718 描述了微软虚拟可信平台模块(vTPM)中的一个漏洞，该模块是一个TPM 2.硬件TPM的0兼容虚拟化版本作为特性提供 Azure机密虚拟机. 成功的利用可能导致集装箱逃逸. 攻击者首先需要访问易受攻击的VM, 该建议还指出，当身份验证为来宾模式用户时，利用漏洞是可能的. 往好的方面想, 微软将攻击复杂性评估为高, 因为成功利用此漏洞将依赖于复杂的记忆塑造技术来尝试攻击.

交换(按照传统):RCE

Exchange管理员应注意的存在 cve - 2023 - 36778在所有当前版本的Exchange Server中存在同一网络RCE漏洞. 成功利用要求攻击者与Exchange Server主机位于同一网络上, 并在PowerShell远程会话中使用Exchange用户的有效凭据. 默认情况下，PowerShell Remoting 只允许来自Administrators组成员的连接, 通过公共网络连接的相关Windows防火墙规则拒绝来自同一子网外的连接. 辩护者可能希望重新审视这些规则，以确保这些规则在违约之外没有被放松.

Office: LPE

Microsoft Office收到一个补丁 CVE-2023-36569本地特权升级(LPE)漏洞. 成功利用可以获得SYSTEM特权, 但微软表示预览窗格不是矢量. The advisory doesn’t provide much more information; patches are available for Office 2019, 2021, 和企业应用程序. Office 2016未列出, 这可能意味着它不脆弱, 或者可能意味着稍后将提供补丁.

Server 2012 & Server 2012 R2:终止支持，除非你为ESU付费

今天是Windows Server 2012和Windows Server 2012 R2的最后一个补丁星期二. 从现在开始，接收这些Windows版本的安全更新的唯一方法是订阅 微软的最后一招扩展安全更新(ESU)程序. In all cases, 微软和Rapid7都建议尽快升级到更新版本的Windows.

Windows 1121h2:主要是停止支持

Windows 1121h2家庭版、专业版、专业版教育版、专业版工作站版和SE版 越过支持的终点. Windows 11客户端操作系统没有ESU程序, 因此，从现在开始，上面列出的版本的Windows 11 21H2资产默认不安全. 然而，Windows 11 21H2企业和教育 保持普遍支持 直到2024-10-08. 如果你对此感到困惑，你并不孤单.

总结图表

Summary Table

Azure的漏洞

Azure开发人员工具漏洞

浏览器的漏洞

静电单位漏洞

Exchange Server漏洞

Microsoft Dynamics漏洞

Microsoft Office漏洞

SQL Server漏洞

Windows操作系统漏洞

Windows开发人员工具漏洞

Windows ESU漏洞

Updates

• 2023-10-11:增加了cve - 2023 - 36563漏洞位置的详细信息.
• 2023-10-11:扩展了cve - 2023 - 44487机制和风险的讨论.