Microsoft 5月多个安全缝隙
颁布功夫 2021-05-120x00 缝隙概述
2021年05月11日，Microsoft颁布了5月份的安全更新，本次颁布的安全更新共计建复了55个安全缝隙，其中有4个缝隙评级为严沉，50个缝隙评级为高危，1个缝隙评级为中危，其中蕴含3个0 day缝隙。
0x01 缝隙详情
本次颁布的安全更新涉及.NET Core & Visual Studio、Internet Explorer、Microsoft Exchange Server、Microsoft Office、Excel、SharePoint、Windows OLE、Windows SMB等多个产品和组件。Microsoft已经建复了以下3个0 day缝隙，目前这些缝隙尚未被在野利用。
.NET & Visual Studio权限提升缝隙（CVE-2021-31204）
此缝隙是.NET 和 Visual Studio中的权限提升缝隙，其CVSS评分7.3，目前此缝隙已经公开披露，但需用户交互才可利用。
Microsoft Exchange Server安全职能绕过缝隙（CVE-2021-31207）
此缝隙是2021年Pwn2Own较量中发现的Exchange Server缝隙之一，其CVSS评分6.6，目前已经公开披露。此缝隙无需用户交互即可利用，但利用复杂度和所需权限较高。
Common Utilities远程代码执行缝隙（CVE-2021-31200）
此缝隙是开源软件中通用实用法式（Neural Network Intelligence工具包）中的远程代码执行缝隙，其CVSS评分7.2，目前已经公开披露。此缝隙无需用户交互即可利用，但所需权限较高。
本次安全更新建复的4个严沉缝隙为：
HTTP和谈栈远程代码执行缝隙（CVE-2021-31166）
此缝隙是HTTP.sys中的RCE缝隙，其CVSS评分为9.8,未经身份验证的攻击者能够利用HTTP和谈栈（HTTP.sys）向指标服务器发送恶意构建的数据包来处置数据包。此缝隙无需用户交互即可利用，且攻击复杂度和所需权限较低。此表，此缝隙还可导致蠕虫病毒。
剧本引擎内存败坏缝隙（CVE-2021-26419）
此缝隙是Internet Explorer中的剧本引擎内存败坏缝隙，其CVSS评分为7.5。此缝隙无需用户交互即可利用，但攻击复杂较高，目前尚未被利用。
Hyper-V远程代码执行缝隙（CVE-2021-28476）
此缝隙是Hyper-V中的远程代码执行缝隙，其CVSS评分为9.9，此缝隙无需用户交互即可利用，且攻击复杂度和所需权限较低，目前尚未被利用。
OLE Automation远程代码执行缝隙（CVE-2021-31194）
此缝隙存在于Windows OLE中，其CVSS评分为8.8, 此缝隙无需用户交互即可利用，且攻击复杂度和所需权限较低，目前尚未被利用。
此表，本次颁布的安全更新还建复了4个Microsoft Exchange Server缝隙：
CVE-2021-31195：Microsoft Exchange Server远程代码执行缝隙（高危）
CVE-2021-31209：Microsoft Exchange Server糊弄缝隙（高危）
CVE-2021-31207：Microsoft Exchange Server安全职能绕过缝隙（中危）
CVE-2021-31198：Microsoft Exchange Server远程代码执行缝隙（高危）
0x02 措置建议
目前Microsoft已颁布有关安全更新，建议尽快建复。
（一） Windows update更新
自动更新：
Microsoft Update默认启用，当系统检测到可用更新时，将会自动下载更新并鄙人一次启动时装置。
手动更新：
1、点击“起头菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过节造面板进入“Windows更新”，具体步骤为“节造面板”->“系统和安全”->“Windows更新”）
3、选择“查抄更新”，期待系统将自动查抄并下载可用更新。
4、沉启推算机，装置更新系统沉新启动后，可通过进入“Windows更新”->“查看更新汗青纪录”查看是否成功装置了更新。对于没有成功装置的更新，能够点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，而后在新链接当选择合用于指标系统的补丁进行下载并装置。
（二） 手动装置更新
Microsoft官方下载相应补丁进行更新。
下载链接：
https://msrc.microsoft.com/update-guide/vulnerability
0x03 参考链接
https://msrc.microsoft.com/update-guide/vulnerability
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-28476
https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2021-patch-tuesday-fixes-55-flaws-3-zero-days/
0x04 功夫线
2021-05-11 Microsoft颁布安全更新
2021-05-12 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号