Microsoft 2018年03月重要安全更新提醒

03月13日，微軟發布了2018年03月份的月度例行安全公告，其中包含了3個遠程代碼執行漏洞，漏洞編號分別為CVE-2018-0886、CVE-2018-0872、CVE-2018-0922。 利用上述漏洞，攻擊者可以執行遠程代碼，提升權限，欺騙，繞過安全功能限制，獲得敏感信息或進行拒絕服務攻擊等。建議廣大Microsoft用戶盡快下載補丁更新，避免引發漏洞相關的網絡安全事件。

CVE編號公告標題和摘要最高嚴重等級和漏洞影響受影響的軟件 CVE-2018-0886

Microsoft CredSSP遠程代碼執行漏洞 攻擊者針對遠程桌面協議（RDP）會話運行經特殊設計的應用程序和MiM。 依賴安全憑證支持提供程序協議（CredSSP）進行身份驗證的任何應用程 序可能容易受到此類攻擊。 重要 遠程執行代碼 Windows 10 Windows 7 Windows 8.1 Windows RT 8.1 Server 2008 Server 2008 R2 Server 2012 Server 2012 R2 Server 2016 Server 1709 CVE-2018-0872

Microsoft Scripting Engine遠程執行代碼漏洞 攻擊者可以托管一個特制的網站，通過受影響的Microsoft瀏覽器，然后說服用 戶查看網站。攻擊者還可以利用受損網站或通過添加可能利用此漏洞的特制內 容來接受或托管用戶提供的內容或廣告的網站。攻擊者還可以嵌入一個標記為 “安全的”的ActiveX控件應用程序或Office文檔中承載IE或Edge渲染引擎的初始化 。 嚴重 遠程執行代碼 Microsoft Edge ChakraCore CVE-2018-0922

Microsoft Office遠程代碼執行漏洞 利用這些漏洞需要用戶打開受影響的Microsoft Office軟件版本的特制文件。攻擊 者使用該漏洞托管惡意網站，然后說服用戶訪問該網站或攻擊者利用其他提供商 托管廣告的受損網站。 重要 遠程執行代碼 Office 2010 Word 2007/2010/2013 SharePoint 2010/2013 Office Online Server Office Web Apps Office Compat Pack Word Viewer CVE-2018-0909

Microsoft SharePoint權限提升漏洞 成功利用此漏洞的攻擊者可以對受影響的系統執行跨站點腳本攻擊，并在當前用 戶的安全上下文中運行腳本。 重要 權限提升 SharePoint Enterprise Server 2016 Project Server 2013 CVE-2018-0940 Microsoft Exchange Outlook Web權限提升漏洞 當Microsoft Exchange Outlook Web(OWA)未能正確清理訪問用戶的鏈接時存在 權限提升漏洞。成功利用此漏洞可能會用假登錄頁面否決OWA界面，并企圖欺 騙用戶披露敏感信息。 重要 權限提升 Exchange 2010 Exchange 2013 Exchange 2016 CVE-2018-0924

Microsoft Exchange Outlook Web信息泄露漏洞 如果受影響的用戶正在使用Microsoft Exchange Outlook Web（OWA）策略，則 該漏洞可能允許攻擊者發現未經披露的敏感信息，例如用戶的OWA servise的 URL。網址重定向。 重要 信息泄露 Exchange 2010 Exchange 2013 Exchange 2016 CVE-2018-0941

Microsoft Exchange Outlook Web信息泄露漏洞 在Microsoft Exchange服務器處理導入數據的方式中存在一個信息披露漏洞。如果 受影響的用戶使用Microsoft Exchange Outlook Web（OWA），則該漏洞可能允許 攻擊者發現未經披露的敏感信息。利用該漏洞攻擊者會將特制文件上傳到OWA。 重要 信息泄露 Exchange 2016 CVE-2018-0787

Microsoft ASP.NET Core權限提升漏洞 取決于目標用戶電子郵件客戶端，注入HTML到web應用程序。通過專門制作的請 求將啟動對目標用戶的“密碼重置”。只要目標用戶打開“密碼重置”的電子郵件就可 以觸發該漏洞。 重要 權限提升 Microsoft ASP.NET Core CVE-2018-0808

Microsoft ASP.NET Core拒絕服務漏洞 未經身份驗證的遠程攻擊者可以利用此漏洞通過向.NET Core應用程序發出特制 請求。 重要 拒絕服務 Microsoft ASP.NET Core CVE-2018-0875

Microsoft .NET Core拒絕服務漏洞 為了利用此漏洞，攻擊者可以將少量特制請求發送到.NET Core Web應用程序， 從而導致性能顯著下降，從而導致拒絕服務狀況。 重要 拒絕服務 Microsoft .NET Core.

修復方案： 默認情況下，Windows10會自動接收這些更新提醒，對于以前版本的客戶，建議打開自動更新。更多詳情參見：https://portal.msrc.microsoft.com/en-us/security-guidance https://blogs.technet.microsoft.com/msrc/2018/03/13/march-2018-security-update-release/ 來源：CSPEC 立體防護