極客號(Xqh8.com) 10月11日 消息:微軟于2023年10月發(fā)布了其“星期二補丁”更新，以應(yīng)對其軟件中的103個漏洞，其中包括2個零日漏洞和13個嚴重漏洞。這次更新不僅關(guān)注微軟自家的問題，還包括自九月的第二個星期二以來針對基于Chromium的Edge瀏覽器解決的18個安全漏洞。
這兩個零日漏洞中，一個標識為CVE-2023-36563，涉及Microsoft WordPad，其漏洞評分為6.5，可能導(dǎo)致NTLM哈希的泄露。另一個是CVE-2023-41763，關(guān)聯(lián)Skype for Business，漏洞評分為5.3，可能導(dǎo)致IP地址或端口號等敏感信息的泄露，從而使威脅行為者能夠進入內(nèi)部網(wǎng)絡(luò)。
根據(jù)微軟的建議，攻擊者需要首先登錄系統(tǒng)，然后運行一個專門制作的應(yīng)用程序，以利用漏洞并接管受影響的系統(tǒng)。此外，攻擊者還可以說服本地用戶打開惡意文件，通過電子郵件或即時消息的誘導(dǎo)，說服用戶點擊鏈接，然后說服他們打開專門制作的文件。
此外，微軟還解決了影響Microsoft Message Queuing（MSMQ）和Layer2Tunneling Protocol的多個漏洞，這些漏洞可能導(dǎo)致遠程代碼執(zhí)行和拒絕服務(wù)(DoS)。此次安全更新還解決了Windows IIS Server中的一個嚴重特權(quán)升級漏洞(CVE-2023-36434，CVSS評分為9.8)，可能允許攻擊者通過暴力攻擊冒充并登錄其他用戶。
此外，微軟還發(fā)布了一個關(guān)于CVE-2023-44487的更新，也被稱為HTTP/2Rapid Reset攻擊，此漏洞已被未知的攻擊者作為零日漏洞用于進行大容量分布式拒絕服務(wù)（DDoS）攻擊。微軟指出，雖然這種DDoS可能影響服務(wù)可用性，但它本身不會導(dǎo)致客戶數(shù)據(jù)的泄漏，目前還沒有客戶數(shù)據(jù)泄漏的證據(jù)。
微軟宣布將淘汰Visual Basic script（VBscript），該腳本經(jīng)常被惡意軟件利用進行傳播。微軟補充說，在將來的Windows版本中，VBscript將作為按需功能提供，然后從操作系統(tǒng)中刪除。
