微软补丁星期二修复120个漏洞，含2个已遭利用的 0day
聚焦源代码安全，网罗国内外最新资讯！
编译：奇安信代码卫士团队
微软发布2020年8月补丁星期二，共修复了13款不同产品中的120个漏洞。其中，17个漏洞的严重程度为“严重”，其余103个为“重要”级别。同时，其中还含有2个已遭利用的 0day。
第一个 0day
本月修复的其中一个0day 位于 Windows 操作系统中，编号为 CVE-2020-1464，是 Windows 欺骗漏洞。微软指出攻击者能够利用该 bug 使微软不正确地验证文件签名，“绕过安全特征并不正确地加载已签名文件”。
多个 Windows 版本受影响，包括不再受支持的 Windows 7 和 Windows Server2008。目前该漏洞的技术详情以及真实攻击情况尚未公开。不过微软表示已发现针对最新版本以及更老版本 Windows 系统的攻击活动。
第二个 0day
第二个 0day 是 CVE-2020-1380，位于 IE 脚本引擎中，和 IE 处理内存对象的方式有关，是脚本引擎内存损坏漏洞。微软表示，卡巴斯基的一名研究员指出，黑客已经在 IE 脚本引擎中发现一个远程代码执行漏洞且已用于真实攻击中。ZDI 分析认为，虽然目前尚不清楚攻击的程度和范围，但鉴于它由卡巴斯基报告，因此可以假设其中牵涉到恶意软件。
虽然它位于 IE 脚本引擎中，但微软的其它原生 app 也受影响，如 Office 组件。这是因为 Office app 通过 IE 脚本引擎在 Office 文档内嵌入并渲染网页，而这是脚本引擎发挥主要作用的特征。也就是说可以通过诱骗用户访问恶意网站或通过将可疑 Office 文件发送给受害者的方式利用该漏洞。
“严重”级别的提权漏洞
另外值得注意的一个漏洞是 CVE-2020-1472，为“NetLogon 提权漏洞”。ZDI 分析指出，很少看到“严重”级别的提权漏洞，但这个漏洞实至名归。它位于Netlogon 远程协议 (MS-NRPC) 中，可导致攻击者在网络设备上运行自己的应用程序。未认证攻击者将利用 MS-NRPC 连接到 Domain Controller(DC) 获得管理员访问权限。更糟糕的是，该漏洞的修复方案并不完整。该补丁可使DC 保护设备安全，定于2021年发布的补丁会在 Netlogon 上执行安全的 Remote ProcedureCall (RPC)，完全解决该 bug。应用补丁后，用户仍然需要修改 DC。微软已发布指南帮助管理员选择正确的设置。
其它漏洞
其余漏洞多数影响 Windows 系统，不过某些影响 Edge、IE、Outlook 和 .NET 框架，多数可被用于执行远程代码。
趋势科技的 ZDI 团队分析发现这是微软第六次发布超过110个CVE 漏洞的补丁星期二，“这使得微软在今年修复的漏洞总数达到862个，要比2019年全年的总数还要多11个。如果还是按这个速度发展，那么今年的漏洞总数可能超过1300个。”
推荐阅读
奇安信代码安全实验室五人入选“2020微软 MSRC 最具价值安全研究者”榜单
原文链接
https://www.zdnet.com/article/microsoft-august-2020-patch-tuesday-fixes-120-vulnerabilities-two-zero-days/
https://www.securityweek.com/microsoft-patches-actively-exploited-windows-ie-vulnerabilities
https://www.zerodayinitiative.com/blog/2020/8/11/the-august-2020-security-update-review
题图：Pixabay License
本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。
觉得不错，就点个 “在看” 吧~