微软修补了80多个漏洞包括两个零日漏洞

微软周二发布了87个漏洞的更新，其中包括两个正在被积极利用的漏洞。

根据Tenable高级研究工程师Satnam Narang的说法，第一个零日漏洞是在上个月的补丁星期二公开披露的。

上个月，微软最初宣布了一系列在各种微软产品中被发现和利用的零日漏洞。它们被分配了一个占位符CVE-2023-36884。

本月，微软发布了此漏洞的补丁，称其为Windows搜索安全功能绕过漏洞，并发布了ADV230003，这是一个深度防御更新，旨在阻止导致利用此CVE的攻击链。

Narang敦促组织优先考虑补丁和深度防御更新，因为这个漏洞已经在攻击中被利用。

第二个零日漏洞是CVE-2023-38180，.NET和Visual Studio中的拒绝服务错误，可能导致系统崩溃。

Action1联合创始人迈克·沃尔特斯说： “它利用网络攻击向量，攻击的复杂性低，不需要特权或用户交互。它的CVSS评级为7.5，由于它唯一的能力导致拒绝服务，因此不属于高级别。”

在其他地方，专家敦促系统管理员在本月的更新中查看六个关键cve中的一个。

CVE-2023-21709是一个针对Microsoft Exchange Server的权限提升漏洞，CVSS得分为9.8。攻击复杂性低，不需要任何用户交互，使其成为威胁参与者的潜在流行选择。微软本月还列出了20多个远程代码执行(RCE)错误。

这些漏洞包括CVE-2023-29328和CVE-2023-29330，这是微软团队中的两个关键漏洞，攻击者可以利用它们直接访问目标设备。为了利用，用户必须加入由攻击者组织的Teams会议，Walters解释说。

CVE-2023-36911、CVE-2023-36910和CVE-2023-35385都是微软消息队列服务中的RCE漏洞，CVSS得分为9.8，但被利用的可能性很低。

沃尔特斯说:“这三者都有网络攻击载体，攻击复杂性低，不需要特权，也不需要用户交互。”