【缝隙公告】Microsoft 9月多个安全缝隙
颁布功夫 2021-09-150x00 缝隙概述
2021年9月14日，Microsoft颁布了9月份的安全更新，本次颁布的安全更新建复了蕴含2个0 day缝隙在内的60个安全缝隙（蕴含Microsoft Edge 为86个缝隙），其中有3个缝隙评级为严沉，56个缝隙评级为高危，1个缝隙评级为中危。
0x01 缝隙详情
本次颁布的安全更新涉及Azure、Microsoft Edge、Microsoft Office、Microsoft Windows DNS、Visual Studio、Windows Installer、Windows SMB、Windows Kernel和Windows Update等多个产品和组件。
在86个缝隙中（蕴含Microsoft Edge），27个为权限提升缝隙，2个为安全职能绕过缝隙，16个为远程代码执行缝隙，11个为信息泄露缝隙，1个为回绝服务缝隙，以及8个糊弄缝隙。
Microsoft本次建复的2个0 day缝隙蕴含：
l Windows DNS 权限提升缝隙（CVE-2021-36968）
该缝隙的CVSSv3评分为7.8，攻击复杂度和所需权限低，且无需用户交互即可被本地利用。目前此缝隙已公开披露，但未被积极利用。
l Microsoft MSHTML 远程代码执行缝隙（CVE-2021-40444）
该缝隙为MSHTML (Internet Explorer 和 Office 使用的组件） 中影响Microsoft Windows 的远程代码执行缝隙，该缝隙已检测到在野利用，目前已被建复。Microsoft已于9月7日提前颁布布告，详情请参考Microsoft官方布告或VSRC颁布的安全公告。
3个评级为严沉的缝隙蕴含：
l Azure Open Management Infrastructure远程代码执行缝隙（CVE-2021-38647）
该缝隙的CVSSv3评分为9.8，无需用户交互即可远程利用。Microsoft的可利用性评估将其评估为不太可能被利用。
l Windows 剧本引擎内存败坏缝隙（CVE-2021-26435）
该缝隙可导致Windows 剧本引擎中的远程代码执行，但利用此缝隙必要攻击者诱使用户单击链接，而后打开恶意文件，该缝隙的CVSSv3 评分为8.8。
l Windows WLAN AutoConfig 服务远程代码执行缝隙（CVE-2021-36965）
该缝隙无需用户交互，且攻击复杂度低，其CVSSv3评分为 8.8。
此表，本次建复的关键缝隙（应优先建复）还蕴含：
l Windows Common Log File System Driver权限提升缝隙（CVE-2021-38633、 CVE-2021-36963）
这2个缝隙的CVSSv3评分均为 7.8，且无需用户交互即可被本地利用，攻击者能够利用这些缝隙来提升权限并更改指标系统。Microsoft的可利用性评估将这2个缝隙评估为更有可能被利用。
l Windows Print Spooler 权限提升缝隙（CVE-2021-38671）
该缝隙的CVSSv3评分为 7.8，无需用户交互即可被本地利用。Microsoft的可利用性评估将其评估为更有可能被利用。
0x02 措置建议
目前Microsoft已颁布有关安全更新，鉴于缝隙的严沉性，建议受影响的用户尽快建复。
（一） Windows update更新
自动更新：
Microsoft Update默认启用，当系统检测到可用更新时，将会自动下载更新并鄙人一次启动时装置。
手动更新：
1、点击“起头菜单”或按Windows快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过节造面板进入“Windows更新”，具体步骤为“节造面板”->“系统和安全”->“Windows更新”）
3、选择“查抄更新”，期待系统将自动查抄并下载可用更新。
4、沉启推算机，装置更新系统沉新启动后，可通过进入“Windows更新”->“查看更新汗青纪录”查看是否成功装置了更新。对于没有成功装置的更新，能够点击该更新名称进入微软官方更新描述链接，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录”，而后在新链接当选择合用于指标系统的补丁进行下载并装置。
（二） 手动装置更新
Microsoft官方下载相应补丁进行更新。
下载链接：
https://msrc.microsoft.com/update-guide/vulnerability
0x03 参考链接
https://msrc.microsoft.com/update-guide/vulnerability
https://mp.weixin.qq.com/s/z3uAX0Z5VUM-VlYVAW_kPg
https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2021-patch-tuesday-fixes-2-zero-days-60-flaws/
https://blog.qualys.com/vulnerabilities-threat-research/2021/09/14/microsoft-and-adobe-patch-tuesday-september-2021-microsoft-60-vulnerabilities-with-3-critical-adobe-61-vulnerabilities
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-09-15 | 初次颁布 |
0x05 文档附录
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
CVSS：www.first.org
NVD：nvd.nist.gov
0x06 关于GA黄金甲
关注以下公家号，获取更多资讯：
京公网安备11010802024551号