7月2020年7月修补周二:Microsoft插头Wormable Windows DNS服务器RCE漏洞

在本7月2020日修补周二,微软已启用18个关键和105个高严重程度缺陷,Adobe已经为ColdFusion,Adobe正版服务,Adobe Download Manager,Adobe Media Encoder和Adobe Creative Cloud Desktop应用程序提供了安全更新,并且oracle设置为提供433个漏洞的修复。

7月2020日修补周二

微软的更新

第五个月连续第五个月,Microsoft已经修复了100多个CVE编号的漏洞:123,精确。

首先,其中一个固定的漏洞是特别单独挑选的: CVE-2020-1350 ,又名 s , 一种“wormable”影响所有Windows Server版本的Windows DNS服务器服务中的远程代码执行漏洞。

通过发送特制的请求,可以利用该漏洞来实现受影响系统上的本地系统帐户级别的未经认实的代码执行。

“这使得这种错误令人讨厌 - 至少在受影响的DNS服务器之间。 Microsoft还建议注册表编辑,它限制了服务器将作为解决方法处理的TCP数据包的大小,但它们没有列出该注册表更改的任何潜在副作用。攻击矢量需要非常大的DNS数据包,因此无法通过UDP进行攻击。考虑到Windows DNS服务器通常也是域控制器,肯定会尽快修补此修补,”趋势科技零日举行的尘埃粉 建议 .

克里斯·哈斯·信息安全和研究主任,Automox,指出了一种像这样的伤害脆弱性是攻击者的梦想。

“攻击者不仅可以完全控制系统,而且它们还将能够利用服务器作为分发点,允许攻击者在没有任何用户交互的情况下扩展恶意软件。这种伤害能力增加了整个其他严重性和影响,允许恶意软件作者将类似于诸如Wannacry和Notpetya等标识的恶意软件类似的赎金软件,”他讲述了帮助净安全。

“更糟糕的是,微软认为剥削这种漏洞是如此‘more likely’,并考虑到了解到微软提供了解决方法步骤的性质,如果修补程序无法立即应用,我们预测我们将看到很快在疯狂剥削的漏洞。唯一的好消息是,这不是DNS协议中的漏洞,而是限于Microsoft的DNS服务器实现;但是,这种实现普遍存在,特别是在更大的组织中。”

微软表示,虽然目前未知此漏洞未在主动攻击中使用,但客户必须应用Windows更新以尽快解决IT漏洞。

在本批方法中的其他固定缺陷包括:

  • CVE-2020-1147 , 一种RCE bug in .NET Framework, SharePoint Server, and Visual Studio
  • CVE-2020-1349 , 一种Microsoft Outlook RCE vulnerability that could be triggered by opening or viewing the e-mail in the Preview Pane
  • CVE-2020-1421 ,另一个lnk rce,
  • CVE-2020-1374 , 一种RDP RCE flaw affecting only the client side
  • 影响Hyper-V Remotefx VGPU的六种关键RCE漏洞,该漏洞通过删除易受攻击的图形驱动程序来修复,并催促用户使用离散设备分配(DDA)。

吉米格雷厄姆,SR.产品管理主任,Qualys, 该工作站类型设备应优先考虑Office,Outlook,远程桌面客户端,DirectWrite,地址簿,LNK,GDI +,Font库和VBScript漏洞(即,任何用于电子邮件的系统或通过A访问Internet浏览器)。

微软也发布了 服务堆栈更新 对于每个支持的操作系统,和 指导 在IIS(Web)服务器上启用请求走私过滤器。

“如果由于向受影响的IIS网站发送由前端负载均衡器或代理服务的受影响的IIS网站向受影响的IIS网站向受影响的IIS网站发送了对IIS网站的请求和响应,未能严格遵守RFC可能允许未经身份验证的攻击者篡改。如果您正在使用前端负载均衡器或代理,您应该查看咨询,以确保不正确的请求未传递给后端服务器,” Childs advised.

Adobe的更新

adobe. 发布了Adobe ColdFusion(适用于所有平台)的安全更新,Adobe正版服务(对于Windows和MacOS),Adobe下载管理器,Adobe Media Encoder和Adobe Creative Cloud桌面应用程序(适用于Windows),并修复了13个CVE编号的漏洞。没有一个固定的漏洞在攻击中被积极利用。

adobe. 考虑了 寒冷 (Web应用程序开发计算机)和 创意云桌面应用程序 更新比其他更重要的更重要,因为这些软件产品历史上一直处于攻击风险之中。前者修复了两个可以导致权限升级的两个DLL搜索次序漏洞,而后者插入了三个权限升级错误和可以利用以实现任意文件系统写入的临界缺陷。

下载管理器 更新为单个命令注入漏洞进行修复,可能导致任意代码执行, 真正的服务 更新Nixes三个特权升级漏洞, 媒体编码器 用户可以为一个漏洞获取修补程序,该漏洞可能导致信息披露和两个代码执行。

甲骨文’s updates

甲骨文’S Tricon Patch更新(CPU)也会安排在今天。详细介绍了固定缺陷的文件的最终版本尚未发布,但根据 预发布公告,将推出433个缺陷的修复。

Todd Schell,高级产品经理,Security,Ivanti,因此总结了:“Oracle Java SE将解决11个漏洞,所有这些漏洞都在没有身份验证的情况下远程可利用。最高的CVSS V3.1基本得分为8.3。融合中间件正在解析53 CVES,其中49个,其中49可以在没有身份验证的情况下远程剥削。最高的CVSS V3.1基本得分为9.8。 MySQL正在解决40个漏洞,其中六个可能远程剥削而无需身份验证。最高的CVSS V3.1基本得分为9.8。”

分享这个