Microsoft为积极利用的Excel、Exchange Server 0天漏洞发布修补程序

微软发布了安全更新，作为其每月补丁周二发布周期的一部分，以解决Windows、Azure、Visual Studio、Windows Hyper-V和Office中的55个漏洞，包括修复Excel和Exchange Server中两个被积极利用的零日漏洞，这些漏洞可能被滥用以控制受影响的系统。

在55个小故障中，有6个被评定为严重，49个被评定为严重，另外4个在发布时被列为公众已知。

最关键的缺陷是CVE-2021-42321（CVSS分数：8.8）和CVE-2021-42292（CVSS分数：7.8），分别与Microsoft Exchange Server中的认证后远程代码执行缺陷和影响Microsoft Excel 2013-2021版本的安全绕过漏洞有关。

Exchange服务器问题也是上个月在中国举行的天府杯上展示的漏洞之一。然而，这家总部位于雷德蒙德的科技巨头没有提供上述两个漏洞如何用于现实世界攻击的任何细节。

Qualys漏洞和威胁研究主管巴拉特·乔吉（Bharat Jogi）说：“今年早些时候，微软警告说，APT集团HAFNIUM正在利用微软Exchange服务器中的四个零日漏洞进行攻击。”。

“这演变成了DearCry勒索软件利用Exchange server漏洞进行的攻击，包括对传染病研究人员、律师事务所、大学、国防承包商、政策智库和非政府组织的攻击。这样的例子进一步强调，Microsoft Exchange server是黑客试图渗透的高价值目标“关键网络，”Jogi补充道。

Also addressed are four publicly disclosed, but not exploited, vulnerabilities —

• CVE-2021-43208（CVSS分数：7.8）-3D Viewer远程代码执行漏洞
• CVE-2021-43209（CVSS分数：7.8）-3D Viewer远程代码执行漏洞
• CVE-2021-38631（CVSS分数：4.4）-Windows远程桌面协议（RDP）信息泄露漏洞
• CVE-2021-41371（CVSS分数：4.4）-Windows远程桌面协议（RDP）信息泄露漏洞

微软的十一月补丁也有一个解决方案为CVE-2021-711，一个关键的缓冲区溢出漏洞OpenSSL的SM2解密功能，在2021年8月底曝光，并可能被对手滥用，运行任意代码，并导致拒绝服务（DOS）条件。

Other important remediations include fixes for multiple remote code execution flaws in Chakra Scripting Engine (CVE-2021-42279), Microsoft Defender (CVE-2021-42298), Microsoft Virtual Machine Bus (CVE-2021-26443), Remote Desktop Client (CVE-2021-38666), and on-premises versions of Microsoft Dynamics 365 (CVE-2021-42316).

最后，更新还包括一些影响NTFS（CVE-2021-41367、CVE-2021-41370、CVE-2021-42283）、Windows内核（CVE-2021-42285）、Visual Studio代码（CVE-2021-42322）、Windows桌面网桥（CVE-2021-36957）和Windows Fast FAT文件系统驱动程序（CVE-2021-41377）的权限提升漏洞补丁

要安装最新的安全更新，Windows用户可以开始>；设置>；更新及；安全性>；Windows Update或选择“检查Windows更新”。

来自其他供应商的软件补丁

In addition to Microsoft, security updates have also been released by a number of other vendors to rectify several vulnerabilities, including —

• 土砖
• 安卓
• 思科
• 思杰公司
• 情报
• Linux发行版Oracle Linux、Red Hat和SUSE
• 桑巴舞
• 液
• 施耐德电气和
• 西门子