【漏洞通告】Microsoft 9月多个宁静漏洞
宣布时间 2021-09-150x00 漏洞概述
2021年9月14日 ，Microsoft宣布了9月份的宁静更新 ，本次宣布的宁静更新修复了包罗2个0 day漏洞在内的60个宁静漏洞（包罗Microsoft Edge 为86个漏洞） ，其中有3个漏洞评级为严重 ，56个漏洞评级为高危 ，1个漏洞评级为中危 。
0x01 漏洞详情
本次宣布的宁静更新涉及Azure、Microsoft Edge、Microsoft Office、Microsoft Windows DNS、Visual Studio、Windows Installer、Windows SMB、Windows Kernel和Windows Update等多个产物和组件 。
在86个漏洞中（包罗Microsoft Edge） ，27个为权限提升漏洞 ，2个为宁静功效绕过漏洞 ，16个为远程代码执行漏洞 ，11个为信息泄露漏洞 ，1个为拒绝服务漏洞 ，以及8个欺骗漏洞 。
Microsoft本次修复的2个0 day漏洞包罗：
l Windows DNS 权限提升漏洞（CVE-2021-36968）
该漏洞的CVSSv3评分为7.8 ，攻击庞大度和所需权限低 ，且无需用户交互即可被当地利用 。目前此漏洞已果然披露 ，但未被积极利用 。
l Microsoft MSHTML 远程代码执行漏洞（CVE-2021-40444）
该漏洞为MSHTML (Internet Explorer 和 Office 使用的组件） 中影响Microsoft Windows 的远程代码执行漏洞 ，该漏洞已检测到在野利用 ，目前已被修复 。Microsoft已于9月7日提前宣布通告 ，详情请参考Microsoft官方通告或VSRC宣布的宁静通告 。
3个评级为严重的漏洞包罗：
l Azure Open Management Infrastructure远程代码执行漏洞（CVE-2021-38647）
该漏洞的CVSSv3评分为9.8 ，无需用户交互即可远程利用 。Microsoft的可利用性评估将其评估为不太可能被利用 。
l Windows 脚本引擎内存损坏漏洞（CVE-2021-26435）
该漏洞可导致Windows 脚本引擎中的远程代码执行 ，但利用此漏洞需要攻击者诱使用户单击链接 ，然后打开恶意文件 ，该漏洞的CVSSv3 评分为8.8 。
l Windows WLAN AutoConfig 服务远程代码执行漏洞（CVE-2021-36965）
该漏洞无需用户交互 ，且攻击庞大度低 ，其CVSSv3评分为 8.8 。
此外 ，本次修复的要害漏洞（应优先修复）还包罗：
l Windows Common Log File System Driver权限提升漏洞（CVE-2021-38633、 CVE-2021-36963）
这2个漏洞的CVSSv3评分均为 7.8 ，且无需用户交互即可被当地利用 ，攻击者可以利用这些漏洞来提升权限并更改目标系统 。Microsoft的可利用性评估将这2个漏洞评估为更有可能被利用 。
l Windows Print Spooler 权限提升漏洞（CVE-2021-38671）
该漏洞的CVSSv3评分为 7.8 ，无需用户交互即可被当地利用 。Microsoft的可利用性评估将其评估为更有可能被利用 。
0x02 处置建议
目前Microsoft已宣布相关宁静更新 ，鉴于漏洞的严重性 ，建议受影响的用户尽快修复 。
（一） Windows update更新
自动更新：
Microsoft Update默认启用 ，当系统检测到可用更新时 ，将会自动下载更新并在下一次启动时安装 。
手动更新：
1、点击“开始菜单”或按Windows快捷键 ，点击进入“设置”
2、选择“更新和宁静” ，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过控制面板进入“Windows更新” ，具体步骤为“控制面板”->“系统和宁静”->“Windows更新”）
3、选择“检查更新” ，期待系统将自动检查并下载可用更新 。
4、重启计算机 ，安装更新系统重新启动后 ，可通过进入“Windows更新”->“检察更新历史记录”检察是否乐成安装了更新 。对于没有乐成安装的更新 ，可以点击该更新名称进入微软官方更新描述链接 ，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录” ，然后在新链接中选择适用于目标系统的补丁进行下载并安装 。
（二） 手动安装更新
Microsoft官方下载相应补丁进行更新 。
下载链接：
https://msrc.microsoft.com/update-guide/vulnerability
0x03 参考链接
https://msrc.microsoft.com/update-guide/vulnerability
https://mp.weixin.qq.com/s/z3uAX0Z5VUM-VlYVAW_kPg
https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2021-patch-tuesday-fixes-2-zero-days-60-flaws/
https://blog.qualys.com/vulnerabilities-threat-research/2021/09/14/microsoft-and-adobe-patch-tuesday-september-2021-microsoft-60-vulnerabilities-with-3-critical-adobe-61-vulnerabilities
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-09-15 | 首次宣布 |
0x05 文档附录
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
CVSS：www.first.org
NVD：nvd.nist.gov
0x06 关于抖圈为赌而生
关注以下公众号 ，获取更多资讯：
京公网安备11010802024551号