补丁星期二- 2024年9月

最后更新于2024年9月13日（星期五）19:21:33 GMT

微软正在解决79个漏洞 2024年9月补丁星期二. Microsoft has evidence of in-the-wild exploitation 和/or public disclosure for four of the vulnerabilities published today; at time of writing, 这四个都列在 中钢协KEV. 微软今天还修补了四个关键的远程代码执行（RCE）漏洞. 不同寻常的是，微软本月还没有修补任何浏览器漏洞.

服务堆栈：Windows 10 1507回滚零日RCE

乍一看，当今最令人担忧的野外利用漏洞是 cve - 2024 - 43491, 其中描述了由Windows服务堆栈中的回归导致的预认证RCE漏洞，该漏洞回滚了先前影响可选组件的许多漏洞的修复程序.

的CVSSv3.1个基本分数是9分.8，这通常不是好消息. 然而, 事情并不像看起来那么糟糕：这里的关键是只有Windows 10, 版本1507 （Windows 10 Enterprise 2015 LTSB和Windows 10 IoT Enterprise 2015 LTSB）受影响. 也, 微软指出，虽然已知至少有一些未修补的意外漏洞被利用, 他们还没有看到cve - 2024 - 43491本身的野外利用, 微软发现了这个缺陷. 总之, 当然也有很多组织仍然在运行Windows 10 1507, 大多数管理员都可以松一口气了, 然后再去担心其他的事情.

描述的服务堆栈回归 cve - 2024 - 43491 会在2024年3月的补丁中出现. 那些仍然在运行Windows 10 1507的怀旧人士应该注意到，服务堆栈和今天发布的常规Windows操作系统补丁都需要补丁, 必须按这个顺序应用. 微软没有具体说明哪些漏洞在3月份被意外地取消了修补, 尽管在FAQ的末尾有一个受影响的可选组件的重要列表, 所以潜在的漏洞是相当长的. 只要有时间，一个热心的数据挖掘者无疑可以列出一份可能的嫌疑人名单.

微软还提供了一个高层次的错误解释：2024年3月1507安全补丁的构建号触发了服务堆栈中的一个潜在代码缺陷, 在此期间更新的任何可选组件都降级为RTM版本. 这可能听起来 出奇的相似 Windows操作系统降级攻击 披露 在黑帽美国2024上, 但这两者之间显然没有任何实质性的联系. 很有可能微软总部的某个人正在仔细检查其他Windows版本的服务堆栈中是否存在类似的基于版本范围的缺陷.

web标记：零日“LNK踩踏”安全功能绕过

web标记（mark -of- web, MotW）安全特性绕过 cve - 2024 - 38217 不仅已知会被利用，而且还会通过一个 广泛的帐面价值 该公司将这种技术命名为“LNK踩踏”，并强调利用这种技术通常需要探索者参与.覆盖现有的LNK文件. 这篇文章还链接了GitHub上的漏洞代码. 除此之外, 发现者指出，VirusTotal的样本可以追溯到2018年，以证明这种情况已经被滥用了很长时间.

就像一般的mow绕过漏洞一样, 当用户下载并打开特制的恶意文件时，就会发生恶意利用, 这样就可以绕过 SmartScreen应用信誉安全检查 和/或旧的Windows附件服务安全提示.

Windows安装程序：零日EoP

在今天的四个野外利用漏洞中，下一个是 cve - 2024 - 38014Windows安装程序中的特权提升漏洞. 中等的CVSSv3.1分为7分.8与微软的严重性评估“重要”而不是“关键”相符. 开发授予代码作为SYSTEM执行, 尽管攻击向量是局部的, 这对恶意软件的作者来说至少有点吸引力, 因为攻击复杂性和特权要求都很低, 并且不需要用户交互.

在这种情况下, CWE-269：不当的特权管理可能描述了一种导致Windows安装程序过度慷慨地提供安装软件和配置操作系统所需的特权访问的方法. 所有当前版本的Windows都会收到修复, 以及Server 2008, 微软出于好心，时不时地给它打补丁, 尽管官方的支持在一年前就结束了.

Microsoft Publisher：零日宏观策略绕过

自从我们谈论Microsoft Publisher已经有一段时间了，所以今天发布的 cve - 2024 - 38226 一个绕过Office宏策略的本地安全特性，给了我们这样做的机会. 不涉及预览窗格, 欢迎在FAQ中对漏洞利用方法的描述, 但有些不寻常的是：攻击者不仅要说服用户下载并打开恶意文件, 但是攻击者也必须在系统本身上进行身份验证, 尽管FAQ没有进一步解释.

跳过那些已知已被利用或披露的漏洞, 我们看到三个关键的RCE漏洞：两个在SharePoint, 一个在Windows NAT实现中.

SharePoint：两个关键的rce

SharePoint RCE的网络矢量开发 cve - 2024 - 38018 要求攻击者已经拥有站点成员权限, 但既然那些不是皇冠上的宝石, 攻击复杂度低, 并且不需要用户交互, 微软根据其专有的严重性等级将其评为“关键”，这是非常合理的, 并预期剥削更有可能发生.

本月修补的第二个SharePoint关键RCE是 cve - 2024 - 43464, which describes a deserialization of untrusted data leading to code execution in the context of the SharePoint Server via specially-crafted API calls after uploading a malicious file; one mitigating factor is that the attacker must already have Site Owner permissions or better. 这听起来很像 cve - 2024 - 30044Rapid7对此进行了报道 早在2024年5月.

Windows NAT：关键RCE

本月的关键RCE漏洞是 cve - 2024 - 38119，描述了Windows NAT实现中存在自由缺陷后的一种用法. 攻击向量被列为邻域, 因此，在赢得竞争条件之前，攻击者需要在与目标资产相同的网络上有一个现有的立足点, 哪一点会使攻击的复杂性变得很高. 尽管这看起来是未经授权的RCE，但微软认为不太可能被利用. 原因不明, 服务器2012/2012 R2未收到补丁, 尽管所有新的支持版本的Windows都可以.

交换：什么也没有?

在2024年3月和4月忙碌了几个月之后, 交易所这边已经安静了一段时间了, 这个月延续了这种奇怪的好运.

微软生命周期更新

2024年9月期间微软产品生命周期没有重大变化, 尽管任何负责 用于MySQL的Azure数据库-单服务器 是否要在2024-09-16日落日期之前迁移到受支持的服务，以避免非自愿强制迁移和服务器不可用.

正如Rapid7上个月所指出的那样，Mac版的Visual Studio在2024-08-31收到了最后一个补丁. 同样在2024年8月31日，许多传统Azure服务也将退役，包括 云服务上Redis的Azure缓存（经典版）.

10月将见证Windows 11生命周期的重大变化：Windows 11企业版和教育版的21H2发布日期, 以及其他Windows 11版本的22H2版本的发布结束日期. 传统软件的粉丝应该已经知道，Server 2012和2012 R2将在10月份进入“付费更新扩展安全更新”计划的第二年.

总结图表

汇总表

Azure的漏洞

静电单位漏洞

ESU Windows漏洞

ESU Windows Microsoft Office漏洞

Microsoft Dynamics漏洞

Microsoft Office漏洞

SQL Server漏洞

Windows操作系统漏洞