微软2023年1月份于周二补丁日针对98个漏洞发布安全补丁

2023年的微软1月份的第二个周二，如期而至。年月微软在 2023 年发布的份于第一个补丁星期二修复程序共修复了98 个安全漏洞，其中包括该公司表示正在被积极利用的周补针对一个漏洞。

本月 ，丁日洞发丁微软发布的个漏 98 个新补丁，解决了 Microsoft Windows 和 Windows 组件中的布安 CVE；办公室和办公室组件；.NET Core 和 Visual Studio Code、3D Builder、全补Azure Service Fabric 容器、微软Windows BitLocker 、年月Windows Defender
、免费模板份于Windows Print Spooler 组件和 Microsoft Exchange Server。周补针对

98 个问题中有 11 个被评为严重 ，丁日洞发丁87 个被评为重要 ，个漏其中一个漏洞在发布时也被列为公开漏洞。布安另外 ，这家 Windows 制造商预计将为其基于 Chromium 的 Edge 浏览器发布更新 。

受到攻击的漏洞与CVE-2023-21674（CVSS 评分：8.8）有关  ，这是 Windows 高级本地过程调用 ( ALPC ) 中的一个权限提升漏洞  ，攻击者可以利用该漏洞获取 SYSTEM 权限。

“这个漏洞可能导致浏览器沙箱逃逸
，”微软在一份公告中指出，并感谢 Avast 研究人员 Jan Vojtěšek、服务器租用Milánek 和 Przemek Gmerek 报告了这个漏洞
。

虽然该漏洞的详细信息仍处于保密状态，但成功的利用需要攻击者已经在主机上获得初始感染。该缺陷也可能与 Web 浏览器中存在的错误相结合，以突破沙箱并获得提升的权限 。

网络威胁研究主管 Kev Breen沉浸式实验室说 ：“一旦建立了最初的立足点，攻击者就会寻求跨网络移动或获得更高级别的访问权限，而这些类型的特权升级漏洞是该攻击者剧本的香港云服务器关键部分。”

除Microsoft 发布了最新的修复和更新，Adobe 也在周二发布了更新  。

Adobe 发布了四个补丁，解决了 Adobe Acrobat 和 Reader、InDesign、InCopy 和 Adobe Dimension 中的 29 个 CVE
。通过 ZDI 程序提交了总共 22 个这些错误 。Reader的更新修复了 15 个错误 ，其中八个严重程度为严重。如果受影响的系统打开特制文件，其中最严重的模板下载将允许任意代码执行 。InDesign的补丁修复了六个错误，其中四个被评为严重。与 Reader 补丁类似 
，打开恶意文件可能会导致代码执行
。InCopy也是如此，它还收到了六个 CVE 的修复程序 。维度的更新仅解决了两个 CVE，但该修复程序还包括对 SketchUp 中依赖项的更新。旧版本的时间戳为 2 月 22 日
，源码下载而今天发布的版本时间戳为 11 月 9 日 。

CVE-2023-21674 – Windows 高级本地过程调用 (ALPC) 特权提升漏洞

这是本月被列为受到主动攻击的漏洞之一。它允许本地攻击者将特权从 Chromium 内的沙盒执行提升到内核级执行和完整的 SYSTEM 特权 
。这种类型的错误通常与某种形式的代码提取相结合 ，以传播恶意软件或勒索软件。考虑到 Avast 的研究人员向微软报告了这一情况 ，这种情况似乎很有可能发生。

CVE-2023-21743 - Microsoft SharePoint Server 安全功能绕过漏洞

您很少看到严重级别的建站模板安全功能绕过 (SFB)，但这个似乎符合要求。此错误可能允许未经身份验证的远程攻击者与受影响的 SharePoint 服务器建立匿名连接。系统管理员需要采取额外的措施来完全保护免受此漏洞的影响 。要完全解决此错误，您还必须触发 SharePoint 升级操作，该操作也包含在此更新中
。有关如何执行此操作的完整详细信息 ，请参见公告。像这样的情况就是为什么人们尖叫“只要修补它！”的原因。表明他们实际上从未需要为现实世界中的企业打补丁。

CVE-2023-21763 / CVE-2023-21764 - Microsoft Exchange Server 特权提升漏洞

这些漏洞由 ZDI 研究员 Piotr Bazydło 发现 
，是CVE-2022-41123补丁失败的结果。因此，这些漏洞是根据我们针对不完整补丁导致的错误的新时间表报告的 
。由于使用了硬编码路径，本地攻击者可以加载他们自己的 DLL 并在 SYSTEM 级别执行代码 。最近的一份报告显示
 ，有将近 70,000 台未打补丁的 Exchange 服务器可通过互联网访问。如果您在本地运行 Exchange
，请快速测试和部署所有 Exchange 修复程序，并希望微软这次能够正确修复这些错误。