【漏洞預警】CNNVD 關于微軟多個安全漏洞的通報

近日，微軟官方發布了多個安全漏洞的公告，包括Windows Hyper-V遠程代碼執行漏洞（CNNVD-201906-478、CVE-2019-0620）、Jet 數據庫引擎遠程代碼執行漏洞（CNNVD-201906-413、CVE-2019-0904）、ActiveX Data Objects遠程代碼執行漏洞（CNNVD-201906-456、CVE-2019-0888）等多個漏洞。成功利用上述漏洞的攻擊者可以在目標系統上執行任意代碼、獲取用戶數據。微軟多個產品和系統受漏洞影響。目前，微軟官方已經發布漏洞修復補丁，建議用戶及時確認是否受到漏洞影響，采取修補措施。

一、 漏洞介紹 本次漏洞公告涉及Microsoft Windows系統 、Jet 數據庫、ActiveX Data Objects、Microsoft Word、Chakra 腳本引擎、Windows Hyper-V等Windows平臺下應用軟件和組件。微軟多個產品和系統版本受漏洞影響，具體影響范圍可訪問https://portal.msrc.microsoft.com/zh-cn/security-guidance查詢，漏洞詳情如下： 1、Windows Hyper-V遠程代碼執行漏洞（CNNVD-201906-478、CVE-2019-0620）（CNNVD-201906-443、CVE-2019-0709）（CNNVD-201906-447、CVE-2019-0722） 漏洞簡介：當主機服務器上的 Windows Hyper-V 無法正確驗證來賓系統上經身份驗證的用戶輸入時，存在遠程代碼執行漏洞。攻擊者可以在來賓操作系統上運行經特殊設計的惡意程序，最終在主機服務器系統上執行任意代碼。 2、Jet 數據庫引擎遠程代碼執行漏洞（CNNVD-201906-413、CVE-2019-0904）（CNNVD-201906-412、CVE-2019-0905）（CNNVD-201906-450、CVE-2019-0906）（CNNVD-201906-453、CVE-2019-0907）（CNNVD-201906-452、CVE-2019-0908）（CNNVD-201906-457、CVE-2019-0909） 漏洞簡介：當 Windows Jet 數據庫引擎不正確地處理內存中的對象時，會觸發遠程代碼執行漏洞。成功利用此漏洞的攻擊者可以在受害者系統上執行任意代碼。 3、ActiveX Data Objects (ADO)遠程代碼執行漏洞（CNNVD-201906-456、CVE-2019-0888） 漏洞簡介：ActiveX Data Objects (ADO)處理內存中對象的方式中存在一個遠程代碼執行漏洞。 攻擊者可創建含有惡意代碼的網站，并誘使用戶進行訪問，最終實現遠程代碼執行。 4、Microsoft Word 遠程代碼執行漏洞（CNNVD-201906-425、CVE-2019-1034）（CNNVD-201906-421、CVE-2019-1035） 漏洞簡介：當 Microsoft Word無法正確處理內存中的對象時，會觸發遠程代碼執行漏洞。攻擊者可通過向用戶發送經特殊設計的文件并誘使用戶打開該文件以利用此漏洞。成功利用漏洞的攻擊者可在用戶系統上執行任意代碼。 5、Chakra 腳本引擎內存損壞漏洞（CNNVD-201906-472、CVE-2019-1002）（CNNVD-201906-516、CVE-2019-1003）（CNNVD-201906-475、CVE-2019-0989）（CNNVD-201906-477、CVE-2019-0991）（CNNVD-201906-476、CVE-2019-0992）（CNNVD-201906-473、CVE-2019-0993） 漏洞簡介：Chakra 腳本引擎在 Microsoft Edge 中處理內存中的對象時可能觸發該漏洞。成功利用該漏洞的攻擊者可以獲得與當前用戶相同的用戶權限。如果當前用戶使用管理員權限登錄，攻擊者便可以任意安裝程序、查看、更改或刪除數據，或者創建擁有完全用戶權限的新帳戶。 6、Microsoft Speech API 遠程代碼執行漏洞（CNNVD-201906-454、CVE-2019-0985） 漏洞簡介：當Microsoft Speech API不正確地處理文本到語音（TTS）輸入時，存在遠程代碼執行漏洞。該漏洞可能以一種使攻擊者能夠在當前用戶的上下文中執行任意代碼的方式來破壞內存。 7、Microsoft Windows安全特征繞過漏洞（CNNVD-201906-431、CVE-2019-1019） 漏洞簡介：Windows中Netlogon消息能夠獲取會話密鑰并對消息進行簽名，該消息存在一個安全特征繞過漏洞。為了利用此漏洞，攻擊者可以發送精心設計的身份驗證請求。成功利用此漏洞的攻擊者可以使用原始用戶權限訪問另一臺計算機。

二、修復建議 目前，微軟官方已經發布補丁修復了上述漏洞，建議用戶及時確認漏洞影響，采取修補措施。微軟官方鏈接地址如下：

序號 漏洞名稱 官方鏈接 1 Windows Hyper-V遠程代碼執行漏洞（CNNVD-201906-478、CVE-2019-0620）（CNNVD-201906-443、CVE-2019-0709）（CNNVD-201906-447、CVE-2019-0722） https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0620 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0709 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0722 2 Jet 數據庫引擎遠程代碼執行漏洞（CNNVD-201906-413、CVE-2019-0904）（CNNVD-201906-412、CVE-2019-0905）（CNNVD-201906-450、CVE-2019-0906）（CNNVD-201906-453、CVE-2019-0907）（CNNVD-201906-452、CVE-2019-0908）（CNNVD-201906-457、CVE-2019-0909） https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0904 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0905 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0906 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0907 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0908 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0909 3 ActiveX Data Objects (ADO)遠程代碼執行漏洞（CNNVD-201906-456、CVE-2019-0888） https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0888 4 Microsoft Word 遠程代碼執行漏洞（CNNVD-201906-425、CVE-2019-1034）（CNNVD-201906-421、CVE-2019-1035） https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1034 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1035 5 Chakra 腳本引擎內存損壞漏洞（CNNVD-201906-472、CVE-2019-1002）（CNNVD-201906-516、CVE-2019-1003）（CNNVD-201906-475、CVE-2019-0989）（CNNVD-201906-477、CVE-2019-0991）（CNNVD-201906-476、CVE-2019-0992）（CNNVD-201906-473、CVE-2019-0993） https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1002 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1003 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0989 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0991 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0992 https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0993 6 Microsoft Speech API 遠程代碼執行漏洞（CNNVD-201906-454、CVE-2019-0985） https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-0985 7 Microsoft Windows安全特征繞過漏洞（CNNVD-201906-431、CVE-2019-1019） https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2019-1019