Microsoft 5月多個安全漏洞
發布時間 2021-05-120x00 漏洞概述
2021年05月11日，Microsoft發布了5月份的安全更新，本次發布的安全更新共計修復了55個安全漏洞，其中有4個漏洞評級為嚴重，50個漏洞評級為高危，1個漏洞評級為中危，其中包括3個0 day漏洞。
0x01 漏洞詳情
本次發布的安全更新涉及.NET Core & Visual Studio、Internet Explorer、Microsoft Exchange Server、Microsoft Office、Excel、SharePoint、Windows OLE、Windows SMB等多個產品和組件。Microsoft已經修復了以下3個0 day漏洞，目前這些漏洞尚未被在野利用。
.NET & Visual Studio權限提升漏洞（CVE-2021-31204）
此漏洞是.NET 和 Visual Studio中的權限提升漏洞，其CVSS評分7.3，目前此漏洞已經公開披露，但需用戶交互才可利用。
Microsoft Exchange Server安全功能繞過漏洞（CVE-2021-31207）
此漏洞是2021年Pwn2Own競賽中發現的Exchange Server漏洞之一，其CVSS評分6.6，目前已經公開披露。此漏洞無需用戶交互即可利用，但利用復雜度和所需權限較高。
Common Utilities遠程代碼執行漏洞（CVE-2021-31200）
此漏洞是開源軟件中通用實用程序（Neural Network Intelligence工具包）中的遠程代碼執行漏洞，其CVSS評分7.2，目前已經公開披露。此漏洞無需用戶交互即可利用，但所需權限較高。
本次安全更新修復的4個嚴重漏洞為：
HTTP協議棧遠程代碼執行漏洞（CVE-2021-31166）
此漏洞是HTTP.sys中的RCE漏洞，其CVSS評分為9.8,未經身份驗證的攻擊者可以利用HTTP協議棧（HTTP.sys）向目標服務器發送惡意構建的數據包來處理數據包。此漏洞無需用戶交互即可利用，且攻擊復雜度和所需權限較低。此外，此漏洞還可導致蠕蟲病毒。
腳本引擎內存損壞漏洞（CVE-2021-26419）
此漏洞是Internet Explorer中的腳本引擎內存損壞漏洞，其CVSS評分為7.5。此漏洞無需用戶交互即可利用，但攻擊復雜較高，目前尚未被利用。
Hyper-V遠程代碼執行漏洞（CVE-2021-28476）
此漏洞是Hyper-V中的遠程代碼執行漏洞，其CVSS評分為9.9，此漏洞無需用戶交互即可利用，且攻擊復雜度和所需權限較低，目前尚未被利用。
OLE Automation遠程代碼執行漏洞（CVE-2021-31194）
此漏洞存在于Windows OLE中，其CVSS評分為8.8, 此漏洞無需用戶交互即可利用，且攻擊復雜度和所需權限較低，目前尚未被利用。
此外，本次發布的安全更新還修復了4個Microsoft Exchange Server漏洞：
CVE-2021-31195：Microsoft Exchange Server遠程代碼執行漏洞（高危）
CVE-2021-31209：Microsoft Exchange Server欺騙漏洞（高危）
CVE-2021-31207：Microsoft Exchange Server安全功能繞過漏洞（中危）
CVE-2021-31198：Microsoft Exchange Server遠程代碼執行漏洞（高危）
0x02 處置建議
目前Microsoft已發布相關安全更新，建議盡快修復。
（一） Windows update更新
自動更新：
Microsoft Update默認啟用，當系統檢測到可用更新時，將會自動下載更新并在下一次啟動時安裝。
手動更新：
1、點擊“開始菜單”或按Windows快捷鍵，點擊進入“設置”
2、選擇“更新和安全”，進入“Windows更新”（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通過控制面板進入“Windows更新”，具體步驟為“控制面板”->“系統和安全”->“Windows更新”）
3、選擇“檢查更新”，等待系統將自動檢查并下載可用更新。
4、重啟計算機，安裝更新系統重新啟動后，可通過進入“Windows更新”->“查看更新歷史記錄”查看是否成功安裝了更新。對于沒有成功安裝的更新，可以點擊該更新名稱進入微軟官方更新描述鏈接，點擊最新的SSU名稱并在新鏈接中點擊“Microsoft 更新目錄”，然后在新鏈接中選擇適用于目標系統的補丁進行下載并安裝。
（二） 手動安裝更新
Microsoft官方下載相應補丁進行更新。
下載鏈接：
https://msrc.microsoft.com/update-guide/vulnerability
0x03 參考鏈接
https://msrc.microsoft.com/update-guide/vulnerability
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2021-28476
https://www.bleepingcomputer.com/news/microsoft/microsoft-may-2021-patch-tuesday-fixes-55-flaws-3-zero-days/
0x04 時間線
2021-05-11 Microsoft發布安全更新
2021-05-12 VSRC發布安全通告
0x05 附錄
CVSS評分標準官網：http://www.first.org/cvss/
京公網安備11010802024551號