服務(wù)公告
微軟5月份月度安全漏洞預(yù)警
2020-05-13
一、概要
近日，微軟發(fā)布5月份安全補丁更新，共披露了111個安全漏洞，其中16個漏洞標(biāo)記為嚴(yán)重漏洞。攻擊者利用漏洞可實現(xiàn)遠(yuǎn)程代碼執(zhí)行，權(quán)限提升，敏感信息獲取等。受影響的應(yīng)用包括：Microsoft Windows、Microsoft Edge、Office，SharePoint等組件。
微軟官方說明：
https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-May
二、漏洞級別
漏洞級別：【嚴(yán)重】
（說明：漏洞級別共四級：一般、重要、嚴(yán)重、緊急。）
三、影響范圍
Microsoft Windows、Microsoft Edge、Office，SharePoint等產(chǎn)品。
四、重要漏洞說明詳情
CVE編號 | 漏洞名稱 | 嚴(yán)重程度 | 漏洞描述 |
CVE-2020-1117 | Microsoft顏色管理遠(yuǎn)程執(zhí)行代碼漏洞 | 嚴(yán)重 | 顏色管理模塊（ICM32.dll）處理內(nèi)存中的對象的方式中存在一個遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞的攻擊者可以控制受影響的系統(tǒng)。 |
CVE-2020-1056 | Microsoft Edge特權(quán)提升漏洞 | 嚴(yán)重 | 當(dāng)Microsoft Edge未正確執(zhí)行跨域策略時，就會存在一個特權(quán)提升漏洞，攻擊者可能會利用該策略從一個域訪問信息并將其注入到另一個域。 |
CVE-2020-1028 CVE-2020-1126 CVE-2020-1136 | Media Foundation內(nèi)存損壞漏洞 | 嚴(yán)重 | Windows Media Foundation不正確地處理內(nèi)存中的對象時，存在內(nèi)存損壞漏洞。成功利用此漏洞的攻擊者可以安裝程序。查看，更改或刪除數(shù)據(jù)；或創(chuàng)建具有完全用戶權(quán)限的新帳戶。 |
CVE-2020-1023 CVE-2020-1024 CVE-2020-1102 | Microsoft SharePoint遠(yuǎn)程執(zhí)行代碼漏洞 | 嚴(yán)重 | 當(dāng)軟件無法檢查應(yīng)用程序包的源標(biāo)記時，Microsoft SharePoint中將存在一個遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞的攻擊者可以在SharePoint應(yīng)用程序池和SharePoint服務(wù)器場帳戶的上下文中運行任意代碼。 |
CVE-2020-1069 | Microsoft SharePoint Server遠(yuǎn)程執(zhí)行代碼漏洞 | 嚴(yán)重 | 當(dāng)Microsoft SharePoint Server無法正確識別和過濾不安全的ASP.Net Web控件時，將存在一個遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞的經(jīng)過身份驗證的攻擊者可以使用特制頁面在SharePoint應(yīng)用程序池過程的安全上下文中執(zhí)行操作。 |
CVE-2020-1153 | Microsoft圖形組件遠(yuǎn)程執(zhí)行代碼漏洞 | 嚴(yán)重 | Microsoft圖形組件處理內(nèi)存中對象的方式中存在一個遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞的攻擊者可以在目標(biāo)系統(tǒng)上執(zhí)行任意代碼。 |
CVE-2020-1064 | MSHTML引擎遠(yuǎn)程執(zhí)行代碼漏洞 | 嚴(yán)重 | MSHTML引擎不正確地驗證輸入的方式中存在一個遠(yuǎn)程執(zhí)行代碼漏洞。攻擊者可以在當(dāng)前用戶的上下文中執(zhí)行任意代碼。如果當(dāng)前用戶使用管理用戶權(quán)限登錄，則成功利用此漏洞的攻擊者可以控制受影響的系統(tǒng)。 |
CVE-2020-1093 | VBScript遠(yuǎn)程執(zhí)行代碼漏洞 | 嚴(yán)重 | VBScript引擎處理內(nèi)存中對象的方式中存在一個遠(yuǎn)程執(zhí)行代碼漏洞。該漏洞可能以一種攻擊者可以在當(dāng)前用戶的上下文中執(zhí)行任意代碼的方式來破壞內(nèi)存。成功利用此漏洞的攻擊者可以獲得與當(dāng)前用戶相同的用戶權(quán)限。 |
CVE-2020-1192 | Visual Studio Code Python擴展遠(yuǎn)程代碼執(zhí)行漏洞 | 嚴(yán)重 | 當(dāng)Python擴展從筆記本文件加載工作區(qū)設(shè)置時，Visual Studio Code中存在一個遠(yuǎn)程執(zhí)行代碼漏洞。成功利用此漏洞的攻擊者可以在當(dāng)前用戶的上下文中運行任意代碼。 |
CVE-2020-1037 | Chakra腳本引擎內(nèi)存損壞漏洞 | 嚴(yán)重 | Chakra腳本引擎處理Microsoft Edge（基于HTML）的內(nèi)存中對象的方式中存在一個遠(yuǎn)程執(zhí)行代碼漏洞。該漏洞可能以一種攻擊者可以在當(dāng)前用戶的上下文中執(zhí)行任意代碼的方式來破壞內(nèi)存。 |
CVE-2020-1062 | Internet Explorer內(nèi)存損壞漏洞 | 嚴(yán)重 | 當(dāng)Internet Explorer不正確地訪問內(nèi)存中的對象時，存在一個遠(yuǎn)程執(zhí)行代碼漏洞。該漏洞可能以一種攻擊者可以在當(dāng)前用戶的上下文中執(zhí)行任意代碼的方式來破壞內(nèi)存。 |
CVE-2020-1065 | 腳本引擎內(nèi)存損壞漏洞 | 嚴(yán)重 | ChakraCore腳本引擎處理內(nèi)存中的對象的方式中存在一個遠(yuǎn)程執(zhí)行代碼漏洞。該漏洞可能以一種攻擊者可以在當(dāng)前用戶的上下文中執(zhí)行任意代碼的方式來破壞內(nèi)存。 |
（注：以上為嚴(yán)重漏洞，其他漏洞及詳情請參見微軟官方說明）
五、安全建議
1、可通過Windows Update自動更新微軟補丁修復(fù)漏洞，也可以手動下載補丁，補丁下載地址：
https://portal.msrc.microsoft.com/en-us/security-guidance
2、為確保數(shù)據(jù)安全，建議重要業(yè)務(wù)數(shù)據(jù)進(jìn)行異地備份。
注意：修復(fù)漏洞前請將資料備份，并進(jìn)行充分測試。