微软/Adobe 12月补丁更新解读

360安全客 安全资讯 54829 4

微软12月补丁更新解读

微软12月的补丁更新中发布了34个补丁，其中21个为高危，13个为重要。微软表示，补丁日安全公告中没有任何漏洞已被公开披露或利用。这些漏洞影响以下组件：

  • Microsoft Windows
  • Microsoft Office
  • Microsoft Office Services and Web Apps
  • Microsoft Exchange Server
  • Microsoft Malware Protection Engine
  • Internet Explorer
  • Microsoft Edge
  • ChakraCore

高危(Critical)漏洞

CVE-2017-11937 和CVE-2017-11940

其中最突出的是恶意软件防护引擎（Microsoft Malware Protection Engine）的两个远程代码执行漏洞CVE-2017-11937 和CVE-2017-11940。

Microsoft恶意软件防护引擎中已经确定了两个任意代码执行漏洞，可允许攻击者以本地系统帐户的权限下执行任意代码。这些漏洞是由于引擎不正确地扫描文件而导致的。
如果系统使用受影响的Microsoft恶意软件保护引擎版本扫描特殊构造的文件，则可导致这些漏洞被利用。

Rapid7高级安全研究员Greg Wiseman表示：“这些MPE漏洞也影响Exchange Server，所以服务器管理人员这个月又要加班了。”

Microsoft在恶意软件防护引擎 1.1.14405.2版本中修复了这个漏洞。

影响范围

Microsoft Exchange Server 2013, 2016；
Microsoft Forefront Endpoint Protection 2010;
Microsoft Security Essentials;
Microsoft System Center Endpoint Protection;
Windows Defender(Windows 7, 8.1, 10, Windows RT 8.1, Windows Server 2016等);
具体影响列表参考：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11937
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11940

 

CVE-2017-11935：Microsoft Excel远程代码执行漏洞

Microsoft Office未正确处理内存中的对象，导致了远程执行代码漏洞。 成功利用此漏洞的攻击者可以通过特殊构造的Excel文件以当前用户的权限执行操作。

要利用此漏洞，用户必须使用受影响的Microsoft Office软件版本打开特殊构造的文件。 比如，攻击者可以通过向用户发送特殊构造的文件并诱使用户打开文件来利用此漏洞。 在基于Web的攻击情形中，攻击者可通过受害者访问某网站下载Excel文件，或者以邮件附件的形式诱导用户打开文件，从而触发漏洞。

参考：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV170021

 

IE和Edge浏览器脚本引擎的内存损坏漏洞（多CVE）

CVE-2017-11886: Microsoft IE浏览器内存损坏漏洞

没有Mitigations和Workarounds，建议赶紧升级！
影响范围：从IE 9 到IE 11
影响平台：Windows Server 2008, 2012, 2016; Windows 7,8,8.1, 10
具体影响列表参考：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11886

CVE-2017-11888：Microsoft Edge浏览器内存损坏漏洞

没有Mitigations和Workarounds，建议赶紧升级！
影响平台：Windows 10, Windows Server 2016
具体影响列表参考：https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11888

漏洞描述：

Microsoft Edge和IE浏览器的脚本引擎未正确处理内存中的对象，导致内存损坏漏洞，可攻击者远程执行任意代码。
成功的利用可能会导致在当前用户的上下文中执行任意代码;若当前用户是管理员身份，则利用该漏洞的攻击者可完全接管系统！

漏洞利用场景：

  1. 基于web的攻击，当用户访问到旨在利用这些漏洞的恶意网页时触发；
  2. 在某些情况下打开包含标记为“safe for initialization.”的嵌入式ActiveX控件的Office文档时触发；
    与该漏洞相关的CVE编号列表如下：
    CVE-2017-11886，CVE-2017-11889，CVE-2017-11890，CVE-2017-11893，CVE-2017-11894，CVE-2017-11895，CVE-2017-11901，CVE-2017-11903，CVE-2017-11905，CVE-2017-11907，CVE-2017-11908，CVE-2017-11909，CVE-2017-11910，CVE-2017-11911，CVE-2017-11912，CVE-2017-11914，CVE-2017-11918，CVE-2017-11930

 

微软发布Office更新，禁用了DDE协议

值得注意的是，微软发布了Office的更新，为了提高安全性禁用了DDE协议，此更新影响所有的Office版本。ADV170021中详细介绍了此更新。

 

重要(Important)漏洞

CVE-2017-11934：Microsoft PowerPoint 信息泄露漏洞

Microsoft Office未正确披露内存的内容，导致了一个信息泄漏漏洞。
利用此漏洞的攻击者可以使用这些信息来危害用户的计算机或数据。
要利用此漏洞，攻击者需要构造一个特殊的文档，然后诱使用户打开它。而且攻击者必须知道对象在内存中创建的地址。

CVE-2017-11939 ：Microsoft Office信息泄露漏洞

Microsoft Office中发现了一个泄漏用户私钥的信息泄露漏洞。

漏洞触发场景：

在保存文档时，Office中的Visual Basic宏错误地将用户的私钥从certificate store中导出。
但是攻击者想要利用这个漏洞，还得通过其他漏洞或者社工的方式能够访问到这个文件才行。

 

Adobe12月补丁更新解读

公告ID 发布日期 优先级
APSB17-42 2017年12月12日 2

概要

Adobe在今年年底低调发布了一个Flash的中危CVE漏洞的补丁。 此补丁修复了重置全局设置首选项文件的bug。 虽然这个bug主要是带来了不便，但它可能会影响到安全性的设置。

受影响的版本

产品 版本号 平台
Adobe Flash Player桌面版 27.0.0.187及早期版本 Windows，Macintosh
Google Chrome的Adobe Flash Player 27.0.0.187及早期版本 Windows，Macintosh，Linux和Chrome
Microsoft Edge和Internet Explorer 11的Adobe Flash Player 27.0.0.187及早期版本 Windows 10和8.1
Adobe Flash Player桌面版 27.0.0.187及早期版本 Linux

解决方案

Adobe将这些更新分类为以下优先级别，并建议用户更新到最新版本：

产品 平台 版本号 优先级
Adobe Flash Player桌面版 Windows，Macintosh 28.0.0.126 2
Google Chrome的Adobe Flash Player Windows，Macintosh，Linux和Chrome 28.0.0.126 2
Microsoft Edge和Internet Explorer 11的Adobe Flash Player Windows 10和8.1 28.0.0.126 2
Adobe Flash Player桌面版 Linux 28.0.0.126 3

漏洞详情

漏洞类别 漏洞影响 严重 CVE编号
业务逻辑错误 全局配置文件意外重置 中等 CVE-2017-11305

详细内容参考：https://helpx.adobe.com/security/products/flash-player/apsb17-42.html

 

参考

https://www.bleepingcomputer.com/news/microsoft/microsoft-december-patch-tuesday-fixes-34-security-issues/

https://www.bleepingcomputer.com/news/security/microsoft-fixes-malware-protection-engine-bug-discovered-by-british-intelligence/
http://blog.talosintelligence.com/2017/12/ms-tuesday.html
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/ADV170021
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11934
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11935
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11886
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2017-11888

https://helpx.adobe.com/security/products/flash-player/apsb17-42.html

（完）