Windows用户现在需要修补63个新缺陷（包括0天）

又到了补丁星期二；是时候对Windows操作系统和其他Microsoft产品进行新一轮安全更新了。

本月，Windows用户和系统管理员需要立即处理总共63个安全漏洞，其中12个为严重漏洞，49个为重要漏洞，一个为中度漏洞，一个为轻度漏洞。
这家科技巨头本月修补的两个漏洞在发布时被列为众所周知的漏洞，一个漏洞据报道被多个网络犯罪集团在野外积极利用。

网络罪犯正在利用零日漏洞

卡巴斯基实验室的安全研究人员首次发现并报告了这一零天漏洞，该漏洞被追踪为CVE-2018-8589，被多个高级持续性威胁组织在野外利用。

该漏洞存在于Win32k组件（Win32k.sys）中，如果成功利用该漏洞，可能会允许恶意程序在内核模式下执行任意代码，并提升其在受影响的Windows 7、Server 2008或Server 2008 R2上的权限以控制它。

卡巴斯基说：“恶意软件安装程序的第一阶段执行了该漏洞攻击，目的是获得在受害者系统上持久化所需的权限。到目前为止，我们检测到使用该漏洞的攻击数量非常有限”。

两个公开披露的零日漏洞

其他两个未被列为主动攻击的已知零日漏洞位于Windows高级本地过程调用（ALPC）服务和Microsoft的BitLocker安全功能中。

与ALPC相关的漏洞被追踪为CVE-2018-8584，是一个权限提升漏洞，可通过运行精心编制的应用程序在本地系统的安全上下文中执行任意代码并控制受影响的系统来利用该漏洞。

高级本地过程调用（ALPC）有助于在用户模式下的一个或多个进程之间进行高速、安全的数据传输。
第二个公开披露的漏洞被追踪为CVE-2018-8566，当Windows不正确地挂起BitLocker设备加密时，该漏洞就会存在，这可能会使对断电系统具有物理访问权限的攻击者绕过安全机制，获得对加密数据的访问权限。

本月早些时候，BitLocker因另一个问题而成为头条新闻。由于默认的加密首选项和自加密SSD上的错误加密，该问题可能会暴露Windows用户加密的数据。

微软没有完全解决这个问题；相反，该公司只是提供了如何手动更改BitLocker默认加密选项的指南。

2018年11月补丁周二：关键和重要缺陷

在12个关键漏洞中，有8个是由于脚本引擎在Microsoft Edge internet浏览器中处理内存中对象的方式而存在的Chakra脚本引擎内存损坏漏洞。

所有这8个漏洞都可能被利用来破坏内存，使攻击者能够在当前用户的上下文中执行代码。要利用这些漏洞，攻击者只需诱使受害者在Microsoft Edge上打开一个精心制作的网站。

其余三个漏洞是Windows部署服务TFTP服务器、Microsoft图形组件和VBScript引擎中的远程代码执行漏洞。所有这些缺陷都源于受影响软件处理内存中对象的方式。

最后一个关键漏洞也是Microsoft Dynamics 365（内部部署）版本8中存在的远程代码执行漏洞。当服务器未能正确清理对受影响的Dynamics服务器的web请求时，就会存在该漏洞。

如果成功利用该漏洞，经过身份验证的攻击者可以通过向易受攻击的Dynamics服务器发送精心编制的请求，在SQL service帐户的上下文中运行任意代码。

Windows部署服务TFTP服务器远程代码执行漏洞	CVE-2018-8476	批评的
Microsoft图形组件远程代码执行漏洞	CVE-2018-8553	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8588	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8541	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8542	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8543	批评的
Windows VBScript引擎远程代码执行漏洞	CVE-2018-8544	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8555	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8556	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8557	批评的
Chakra脚本引擎内存损坏漏洞	CVE-2018-8551	批评的
Microsoft Dynamics 365（内部部署）版本8远程代码执行漏洞	CVE-2018-8609	批评的
Azure应用程序服务跨站点脚本漏洞	CVE-2018-8600	重要的
Windows Win32k权限提升漏洞	CVE-2018-8589	重要的
BitLocker安全功能绕过漏洞	CVE-2018-8566	重要的
Windows ALPC权限提升漏洞	CVE-2018-8584	重要的
Team Foundation服务器跨站点脚本漏洞	CVE-2018-8602	重要的
Microsoft Dynamics 365（内部部署）版本8跨站点脚本漏洞	CVE-2018-8605	重要的
Microsoft Dynamics 365（内部部署）版本8跨站点脚本漏洞	CVE-2018-8606	重要的
Microsoft Dynamics 365（内部部署）版本8跨站点脚本漏洞	CVE-2018-8607	重要的
Microsoft Dynamics 365（内部部署）版本8跨站点脚本漏洞	CVE-2018-8608	重要的
Microsoft RemoteFX虚拟GPU微型端口驱动程序权限提升漏洞	CVE-2018-8471	重要的
DirectX权限提升漏洞	CVE-2018-8485	重要的
DirectX权限提升漏洞	CVE-2018-8554	重要的
DirectX权限提升漏洞	CVE-2018-8561	重要的
Win32k权限提升漏洞	CVE-2018-8562	重要的
Microsoft SharePoint权限提升漏洞	CVE-2018-8572	重要的
Microsoft Exchange Server权限提升漏洞	CVE-2018-8581	重要的
Windows COM权限提升漏洞	CVE-2018-8550	重要的
Windows VBScript引擎远程代码执行漏洞	CVE-2018-8552	重要的
Microsoft SharePoint权限提升漏洞	CVE-2018-8568	重要的
Windows权限提升漏洞	CVE-2018-8592	重要的
Microsoft边缘权限提升漏洞	CVE-2018-8567	重要的
DirectX信息泄露漏洞	CVE-2018-8563	重要的
MSRPC信息泄露漏洞	CVE-2018-8407	重要的
Windows音频服务信息泄露漏洞	CVE-2018-8454	重要的
Win32k信息泄露漏洞	CVE-2018-8565	重要的
Microsoft Outlook信息泄露漏洞	CVE-2018-8558	重要的
Windows内核信息泄露漏洞	CVE-2018-8408	重要的
Microsoft Edge信息泄露漏洞	CVE-2018-8545	重要的
Microsoft SharePoint信息披露漏洞	CVE-2018-8578	重要的
Microsoft Outlook信息泄露漏洞	CVE-2018-8579	重要的
PowerShell远程代码执行漏洞	CVE-2018-8256	重要的
Microsoft Outlook远程代码执行漏洞	CVE-2018-8522	重要的
Microsoft Outlook远程代码执行漏洞	CVE-2018-8576	重要的
Microsoft Outlook远程代码执行漏洞	CVE-2018-8524	重要的
Microsoft Word远程代码执行漏洞	CVE-2018-8539	重要的
Microsoft Word远程代码执行漏洞	CVE-2018-8573	重要的
Microsoft Excel远程代码执行漏洞	CVE-2018-8574	重要的
Microsoft Project远程代码执行漏洞	CVE-2018-8575	重要的
Microsoft Outlook远程代码执行漏洞	CVE-2018-8582	重要的
Windows Search远程代码执行漏洞	CVE-2018-8450	重要的
Microsoft Excel远程代码执行漏洞	CVE-2018-8577	重要的
Internet Explorer内存损坏漏洞	CVE-2018-8570	重要的
Microsoft JScript安全功能绕过漏洞	CVE-2018-8417	重要的
Windows安全功能绕过漏洞	CVE-2018-8549	重要的
Microsoft边缘欺骗漏洞	CVE-2018-8564	重要的
Active Directory联合身份验证服务XSS漏洞	CVE-2018-8547	重要的
Team Foundation服务器远程代码执行漏洞	CVE-2018-8529	重要的
Yammer桌面应用程序远程代码执行漏洞	CVE-2018-8569	重要的
Microsoft Powershell篡改漏洞	CVE-2018-8415	重要的
.NET核心篡改漏洞	CVE-2018-8416	适度的
Microsoft Skype for Business Denial of Service漏洞	CVE-2018-8546	低的

本月的安全更新还包括Windows、PortS壳、MS Excel、Outlook、SharePoint、VBScript引擎、EDGE、Windows搜索服务、Internet Explorer、Azure App Service、Team Foundation Server和微软动态365的46个重要漏洞。

强烈建议用户和系统管理员尽快应用上述安全补丁，以防止黑客和网络犯罪分子控制其系统。

要安装安全补丁更新，请转到设置→更新及安全和Windows Update→检查更新，或者手动安装更新。