【缝隙公告】Microsoft 9月多个安全缝隙
颁布功夫 2021-09-150x00 缝隙概述
2021年9月14日 ，Microsoft颁布了9月份的安全更新 ，本次颁布的安全更新建复了蕴含2个0 day缝隙在内的60个安全缝隙（蕴含Microsoft Edge 为86个缝隙） ，其中有3个缝隙评级为严沉 ，56个缝隙评级为高危 ，1个缝隙评级为中危。
0x01 缝隙详情
本次颁布的安全更新涉及Azure、Microsoft Edge、Microsoft Office、Microsoft Windows DNS、Visual Studio、Windows Installer、Windows SMB、Windows Kernel和Windows Update等多个产品和组件。
在86个缝隙中（蕴含Microsoft Edge） ，27个为权限提升缝隙 ，2个为安全职能绕过缝隙 ，16个为远程代码执行缝隙 ，11个为信息泄露缝隙 ，1个为回绝服务缝隙 ，以及8个糊弄缝隙。
Microsoft本次建复的2个0 day缝隙蕴含：
l Windows DNS 权限提升缝隙（CVE-2021-36968）
该缝隙的CVSSv3评分为7.8 ，攻击复杂度和所需权限低 ，且无需用户交互即可被本地利用。目前此缝隙已公开披露 ，但未被积极利用。
l Microsoft MSHTML 远程代码执行缝隙（CVE-2021-40444）
该缝隙为MSHTML (Internet Explorer 和 Office 使用的组件） 中影响Microsoft Windows 的远程代码执行缝隙 ，该缝隙已检测到在野利用 ，目前已被建复。Microsoft已于9月7日提前颁布布告 ，详情请参考Microsoft官方布告或VSRC颁布的安全公告。
3个评级为严沉的缝隙蕴含：
l Azure Open Management Infrastructure远程代码执行缝隙（CVE-2021-38647）
该缝隙的CVSSv3评分为9.8 ，无需用户交互即可远程利用。Microsoft的可利用性评估将其评估为不太可能被利用。
l Windows 剧本引擎内存败坏缝隙（CVE-2021-26435）
该缝隙可导致Windows 剧本引擎中的远程代码执行 ，但利用此缝隙必要攻击者诱使用户单击链接 ，而后打开恶意文件 ，该缝隙的CVSSv3 评分为8.8。
l Windows WLAN AutoConfig 服务远程代码执行缝隙（CVE-2021-36965）
该缝隙无需用户交互 ，且攻击复杂度低 ，其CVSSv3评分为 8.8。
此表 ，本次建复的关键缝隙（应优先建复）还蕴含：
l Windows Common Log File System Driver权限提升缝隙（CVE-2021-38633、 CVE-2021-36963）
这2个缝隙的CVSSv3评分均为 7.8 ，且无需用户交互即可被本地利用 ，攻击者能够利用这些缝隙来提升权限并更改指标系统。Microsoft的可利用性评估将这2个缝隙评估为更有可能被利用。
l Windows Print Spooler 权限提升缝隙（CVE-2021-38671）
该缝隙的CVSSv3评分为 7.8 ，无需用户交互即可被本地利用。Microsoft的可利用性评估将其评估为更有可能被利用。
0x02 措置建议
目前Microsoft已颁布有关安全更新 ，鉴于缝隙的严沉性 ，建议受影响的用户尽快建复。
（一） Windows update更新
自动更新：
Microsoft Update默认启用 ，当系统检测到可用更新时 ，将会自动下载更新并鄙人一次启动时装置。
手动更新：
1、点击“起头菜单”或按Windows快捷键 ，点击进入“设置”
2、选择“更新和安全” ，进入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通过节造面板进入“Windows更新” ，具体步骤为“节造面板”->“系统和安全”->“Windows更新”）
3、选择“查抄更新” ，期待系统将自动查抄并下载可用更新。
4、沉启推算机 ，装置更新系统沉新启动后 ，可通过进入“Windows更新”->“查看更新汗青纪录”查看是否成功装置了更新。对于没有成功装置的更新 ，能够点击该更新名称进入微软官方更新描述链接 ，点击最新的SSU名称并在新链接中点击“Microsoft 更新目录” ，而后在新链接当选择合用于指标系统的补丁进行下载并装置。
（二） 手动装置更新
Microsoft官方下载相应补丁进行更新。
下载链接：
https://msrc.microsoft.com/update-guide/vulnerability
0x03 参考链接
https://msrc.microsoft.com/update-guide/vulnerability
https://mp.weixin.qq.com/s/z3uAX0Z5VUM-VlYVAW_kPg
https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2021-patch-tuesday-fixes-2-zero-days-60-flaws/
https://blog.qualys.com/vulnerabilities-threat-research/2021/09/14/microsoft-and-adobe-patch-tuesday-september-2021-microsoft-60-vulnerabilities-with-3-critical-adobe-61-vulnerabilities
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-09-15 | 初次颁布 |
0x05 文档附录
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
CVSS：www.first.org
NVD：nvd.nist.gov
0x06 关于宝运莱官方网站
关注以下公家号 ，获取更多资讯：
京公网安备11010802024551号