首頁 > 安全研究 > 安全通報 > 安全通告

Microsoft 3月多個安全漏洞

發布時間 2021-03-10

0x00 漏洞概述

2021年03月09日，Microsoft發布了3月份的安全更新，共計修復了122個安全漏洞，其中有14個漏洞評級為嚴重，75個漏洞評級為高危，其中包括2個0 day漏洞。

 

0x01 漏洞詳情

image.png 

本次發布的補丁涵蓋了Windows系統、Azure、Exchange Server、Office、SharePoint Server、Visual Studio、Hyper-V、IE和Edge，3月完整漏洞列表如下：

標簽

CVE   ID

CVE標題

嚴重程度

Application   Virtualization

CVE-2021-26890

應用程序虛擬化遠程代碼執行漏洞

高危

Azure

CVE-2021-27075

Azure虛擬機信息泄露漏洞

高危

Azure   Sphere

CVE-2021-27074

Azure   Sphere未簽名代碼執行漏洞

嚴重

Azure   Sphere

CVE-2021-27080

Azure   Sphere未簽名代碼執行漏洞

嚴重

Internet   Explorer

CVE-2021-27085

Internet   Explorer遠程代碼執行漏洞

高危

Internet   Explorer

CVE-2021-26411

Internet   Explorer內存損壞漏洞

嚴重

Microsoft   ActiveX

CVE-2021-26869

Windows   ActiveX安裝程序服務信息泄露漏洞

高危

Microsoft   Edge on Chromium

CVE-2021-21173

Chromium   CVE-2021-21173：網絡內部的側通道信息泄漏

未知

Microsoft   Edge on Chromium

CVE-2021-21172

Chromium   CVE-2021-21172：文件系統API中的策略執行不足

未知

Microsoft   Edge on Chromium

CVE-2021-21169

Chromium   CVE-2021-21169：V8中的越界內存訪問

未知

Microsoft   Edge on Chromium

CVE-2021-21170

Chromium   CVE-2021-21170：加載程序中的安全性UI不正確

未知

Microsoft   Edge on Chromium

CVE-2021-21171

Chromium   CVE-2021-21171：TabStrip和導航中的安全性UI不正確

未知

Microsoft   Edge on Chromium

CVE-2021-21175

Chromium   CVE-2021-21175：站點隔離中的實施不當

未知

Microsoft   Edge on Chromium

CVE-2021-21176

Chromium   CVE-2021-21176：在全屏模式下實施不當

未知

Microsoft   Edge on Chromium

CVE-2021-21177

Chromium   CVE-2021-21177：自動填充中的策略執行不足

未知

Microsoft   Edge on Chromium

CVE-2021-21174

Chromium   CVE-2021-21174：在Referrer中實施不當

未知

Microsoft   Edge on Chromium

CVE-2021-21178

Chromium   CVE-2021-21178：在合成中執行不當

未知

Microsoft   Edge on Chromium

CVE-2021-21161

Chromium   CVE-2021-21161：TabStrip中的堆緩沖區溢出

未知

Microsoft   Edge on Chromium

CVE-2021-21162

Chromium   CVE-2021-21162：在WebRTC中Use-after-free

未知

Microsoft   Edge on Chromium

CVE-2021-21160

Chromium   CVE-2021-21160：WebAudio中的堆緩沖區溢出

未知

Microsoft   Edge on Chromium

CVE-2020-27844

Chromium   CVE-2020-27844：OpenJPEG中的堆緩沖區溢出

未知

Microsoft   Edge on Chromium

CVE-2021-21159

Chromium   CVE-2021-21159：TabStrip中的堆緩沖區溢出

未知

Microsoft   Edge on Chromium

CVE-2021-21163

Chromium   CVE-2021-21163：在閱讀器模式下數據驗證不足

未知

Microsoft   Edge on Chromium

CVE-2021-21167

Chromium   CVE-2021-21167：在書簽中Use-after-free

未知

Microsoft   Edge on Chromium

CVE-2021-21168

Chromium   CVE-2021-21168：appcache中的策略執行不足

未知

Microsoft   Edge on Chromium

CVE-2021-21166

Chromium   CVE-2021-21166：音頻中的對象生命周期問題

未知

Microsoft   Edge on Chromium

CVE-2021-21164

Chromium   CVE-2021-21164：Chrome中的iOS數據驗證不足

未知

Microsoft   Edge on Chromium

CVE-2021-21165

Chromium   CVE-2021-21165：音頻中的對象生命周期問題

未知

Microsoft   Edge on Chromium

CVE-2021-21189

Chromium   CVE-2021-21189：付款中的政策執行不足

未知

Microsoft   Edge on Chromium

CVE-2021-21181

Chromium   CVE-2021-21181：自動填充中的側通道信息泄漏

未知

Microsoft   Edge on Chromium

CVE-2021-21186

Chromium   CVE-2021-21186：QR掃描中的策略執行不足

未知

Microsoft   Edge on Chromium

CVE-2021-21190

Chromium   CVE-2021-21190：在PDFium中未初始化使用

未知

Microsoft   Edge on Chromium

CVE-2021-21183

Chromium   CVE-2021-21183：性能API中的實現不當

未知

Microsoft   Edge on Chromium

CVE-2021-21185

Chromium   CVE-2021-21185：擴展中的策略執行不足

未知

Microsoft   Edge on Chromium

CVE-2021-21187

Chromium   CVE-2021-21187：URL格式中的數據驗證不足

未知

Microsoft   Edge on Chromium

CVE-2021-21182

Chromium   CVE-2021-21182：導航中的策略執行不足

未知

Microsoft   Edge on Chromium

CVE-2021-21180

Chromium   CVE-2021-21180：在標簽搜索中Use-after-free

未知

Microsoft   Edge on Chromium

CVE-2021-21184

Chromium   CVE-2021-21184：性能API中的實現不當

未知

Microsoft   Edge on Chromium

CVE-2021-21179

Chromium   CVE-2021-21179：在網絡內部Use-after-free

未知

Microsoft   Edge on Chromium

CVE-2021-21188

Chromium   CVE-2021-21188：在Blink中Use-after-free

未知

Microsoft   Exchange Server

CVE-2021-26412

Microsoft   Exchange Server遠程代碼執行漏洞

嚴重

Microsoft   Exchange Server

CVE-2021-27065

Microsoft   Exchange Server遠程代碼執行漏洞

嚴重

Microsoft   Exchange Server

CVE-2021-27078

Microsoft   Exchange Server遠程代碼執行漏洞

高危

Microsoft   Exchange Server

CVE-2021-26854

Microsoft   Exchange Server遠程代碼執行漏洞

高危

Microsoft   Exchange Server

CVE-2021-26857

Microsoft   Exchange Server遠程代碼執行漏洞

嚴重

Microsoft   Exchange Server

CVE-2021-26855

Microsoft   Exchange Server遠程代碼執行漏洞

嚴重

Microsoft   Exchange Server

CVE-2021-26858

Microsoft   Exchange Server遠程代碼執行漏洞

高危

Microsoft   Graphics Component

CVE-2021-26863

Windows   Win32k權限提升漏洞

高危

Microsoft   Graphics Component

CVE-2021-27077

Windows   Win32k權限提升漏洞

高危

Microsoft   Graphics Component

CVE-2021-26861

Windows圖形組件遠程代碼執行漏洞

高危

Microsoft   Graphics Component

CVE-2021-26876

OpenType字體解析遠程代碼執行漏洞

嚴重

Microsoft   Graphics Component

CVE-2021-26875

Windows   Win32k權限提升漏洞

高危

Microsoft   Graphics Component

CVE-2021-26868

Windows圖形組件權限提升漏洞

高危

Microsoft   Office

CVE-2021-24108

Microsoft   Office遠程代碼執行漏洞

高危

Microsoft   Office

CVE-2021-27058

Microsoft   Office ClickToRun遠程代碼執行漏洞

高危

Microsoft   Office

CVE-2021-27059

Microsoft   Office遠程代碼執行漏洞

高危

Microsoft   Office Excel

CVE-2021-27053

Microsoft   Excel遠程代碼執行漏洞

高危

Microsoft   Office Excel

CVE-2021-27054

Microsoft   Excel遠程代碼執行漏洞

高危

Microsoft   Office Excel

CVE-2021-27057

Microsoft   Office遠程代碼執行漏洞

高危

Microsoft   Office PowerPoint

CVE-2021-27056

Microsoft   PowerPoint遠程代碼執行漏洞

高危

Microsoft   Office SharePoint

CVE-2021-27052

Microsoft   SharePoint Server信息泄露漏洞

高危

Microsoft   Office SharePoint

CVE-2021-24104

Microsoft   SharePoint欺騙漏洞

高危

Microsoft   Office SharePoint

CVE-2021-27076

Microsoft   SharePoint Server遠程代碼執行漏洞

高危

Microsoft   Office Visio

CVE-2021-27055

Microsoft   Visio安全功能繞過漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-27050

HEVC視頻擴展遠程代碼執行漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-27049

HEVC視頻擴展遠程代碼執行漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-26884

Windows   Media照片編解碼器信息泄露漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-27051

HEVC視頻擴展遠程代碼執行漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-27062

HEVC視頻擴展遠程代碼執行漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-24110

HEVC視頻擴展遠程代碼執行漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-24089

HEVC視頻擴展遠程代碼執行漏洞

嚴重

Microsoft   Windows Codecs Library

CVE-2021-27061

HEVC視頻擴展遠程代碼執行漏洞

嚴重

Microsoft   Windows Codecs Library

CVE-2021-27048

HEVC視頻擴展遠程代碼執行漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-27047

HEVC視頻擴展遠程代碼執行漏洞

高危

Microsoft   Windows Codecs Library

CVE-2021-26902

HEVC視頻擴展遠程代碼執行漏洞

嚴重

Power   BI

CVE-2021-26859

Microsoft   Power BI信息泄露漏洞

高危

Role:   DNS Server

CVE-2021-27063

Windows   DNS服務器拒絕服務漏洞

高危

Role:   DNS Server

CVE-2021-26893

Windows   DNS服務器遠程代碼執行漏洞

高危

Role:   DNS Server

CVE-2021-26897

Windows   DNS服務器遠程代碼執行漏洞

嚴重

Role:   DNS Server

CVE-2021-26894

Windows   DNS服務器遠程代碼執行漏洞

高危

Role:   DNS Server

CVE-2021-26895

Windows   DNS服務器遠程代碼執行漏洞

高危

Role:   DNS Server

CVE-2021-26896

Windows   DNS服務器拒絕服務漏洞

高危

Role:   DNS Server

CVE-2021-26877

Windows   DNS服務器遠程代碼執行漏洞

高危

Role:   Hyper-V

CVE-2021-26867

Windows   Hyper-V遠程代碼執行漏洞

嚴重

Role:   Hyper-V

CVE-2021-26879

Windows   NAT拒絕服務漏洞

高危

Visual   Studio

CVE-2021-27084

Visual   Studio Code Java擴展包遠程代碼執行漏洞

高危

Visual   Studio

CVE-2021-21300

Git   for Visual Studio遠程代碼執行漏洞

嚴重

Visual   Studio Code

CVE-2021-27060

Visual   Studio代碼遠程代碼執行漏洞

高危

Visual   Studio Code

CVE-2021-27081

Visual   Studio Code ESLint擴展遠程代碼執行漏洞

高危

Visual   Studio Code

CVE-2021-27083

Visual   Studio Code遠程代碼執行的遠程開發擴展漏洞

高危

Visual   Studio Code

CVE-2021-27082

用于Visual Studio代碼遠程代碼執行漏洞的Quantum開發套件

高危

Windows   Admin Center

CVE-2021-27066

Windows管理中心安全功能繞過漏洞

高危

Windows   Container Execution Agent

CVE-2021-26891

Windows容器執行代理權限提升漏洞

高危

Windows   Container Execution Agent

CVE-2021-26865

Windows容器執行代理權限提升漏洞

高危

Windows   DirectX

CVE-2021-24095

DirectX權限提升漏洞

高危

Windows   Error Reporting

CVE-2021-24090

Windows錯誤報告權限提升漏洞

高危

Windows   Event Tracing

CVE-2021-24107

Windows事件跟蹤信息泄露漏洞

高危

Windows   Event Tracing

CVE-2021-26872

Windows事件跟蹤權限提升漏洞

高危

Windows   Event Tracing

CVE-2021-26901

Windows事件跟蹤權限提升漏洞

高危

Windows   Event Tracing

CVE-2021-26898

Windows事件跟蹤權限提升漏洞

高危

Windows   Extensible Firmware Interface

CVE-2021-26892

Windows可擴展固件接口安全功能繞過漏洞

高危

Windows   Folder Redirection

CVE-2021-26887

Microsoft   Windows文件夾重定向權限提升漏洞

高危

Windows   Installer

CVE-2021-26862

Windows   Installer權限提升漏洞

高危

Windows   Media

CVE-2021-26881

Microsoft   Windows Media Foundation遠程代碼執行漏洞

高危

Windows   Overlay Filter

CVE-2021-26874

Windows覆蓋篩選器權限提升漏洞

高危

Windows   Overlay Filter

CVE-2021-26860

Windows   App-V覆蓋篩選器權限提升漏洞

高危

Windows   Print Spooler Components

CVE-2021-1640

Windows   Print Spooler權限提升漏洞

高危

Windows   Print Spooler Components

CVE-2021-26878

Windows   Print Spooler權限提升漏洞

高危

Windows   Projected File System Filter Driver

CVE-2021-26870

Windows   Projected文件系統權限提升漏洞

高危

Windows   Registry

CVE-2021-26864

Windows虛擬注冊表提供程序權限提升漏洞

高危

Windows   Remote Access API

CVE-2021-26882

遠程訪問API權限提升漏洞

高危

Windows   Storage Spaces Controller

CVE-2021-26880

存儲空間控制器權限提升漏洞

高危

Windows   Update Assistant

CVE-2021-27070

Windows   10 Update Assistant權限提升漏洞

高危

Windows   Update Stack

CVE-2021-1729

Windows   Update堆棧安裝權限提升漏洞

高危

Windows   Update Stack

CVE-2021-26889

Windows   Update堆棧權限提升漏洞

高危

Windows   Update Stack

CVE-2021-26866

Windows   Update Service權限提升漏洞

高危

Windows   UPnP Device Host

CVE-2021-26899

Windows   UPnP設備主機權限提升漏洞

高危

Windows   User Profile Service

CVE-2021-26873

Windows用戶配置文件服務權限提升漏洞

高危

Windows   User Profile Service

CVE-2021-26886

用戶配置文件服務拒絕服務漏洞

高危

Windows   WalletService

CVE-2021-26871

Windows   WalletService權限提升漏洞

高危

Windows   WalletService

CVE-2021-26885

Windows   WalletService權限提升漏洞

高危

Windows   Win32K

CVE-2021-26900

Windows   Win32k權限提升漏洞

高危

 

 

0x02 處置建議

目前Microsoft已發布相關安全更新，建議盡快修復。

（一） Windows update更新

自動更新：

Microsoft Update默認啟用，當系統檢測到可用更新時，將會自動下載更新并在下一次啟動時安裝。

 

手動更新：

1、點擊“開始菜單”或按Windows快捷鍵，點擊進入“設置”

2、選擇“更新和安全”，進入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通過控制面板進入“Windows更新”，具體步驟為“控制面板”->“系統和安全”->“Windows更新”）

3、選擇“檢查更新”，等待系統將自動檢查并下載可用更新。

4、重啟計算機，安裝更新系統重新啟動后，可通過進入“Windows更新”->“查看更新歷史記錄”查看是否成功安裝了更新。對于沒有成功安裝的更新，可以點擊該更新名稱進入微軟官方更新描述鏈接，點擊最新的SSU名稱并在新鏈接中點擊“Microsoft 更新目錄”，然后在新鏈接中選擇適用于目標系統的補丁進行下載并安裝。

 

（二） 手動安裝更新

微軟官方下載相應補丁進行更新。

下載鏈接：

https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar

 

0x03 參考鏈接

https://msrc.microsoft.com/update-guide/releaseNote/2021-Mar

https://www.bleepingcomputer.com/news/microsoft/microsoft-march-2021-patch-tuesday-fixes-82-flaws-2-zero-days/

https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-27076

https://www.zerodayinitiative.com/blog/2021/1/27/zdi-can-12671-windows-kernel-dosprivilege-escalation-via-a-null-pointer-deref

 

0x04 時間線

2021-03-09  微軟發布安全更新

2021-03-10  VSRC發布安全通告

 

0x05 附錄

 

CVSS評分標準官網：http://www.first.org/cvss/

image.png

上一篇 下一篇