微软11月补丁日，修复12个关键漏洞

随着11月安全更新的发布，微软已经修复了64个漏洞，其中12个被标记为关键漏洞。

Windows 10 Build 1809升级中的权限提升漏洞

此漏洞ID为CVE-2018-8592。从物理介质（USB，DVD等）安装时，Windows 10版本1809中存在一个特权提升漏洞，在安装过程中选择了“Keep nothing"选项。

成功利用此漏洞可能使攻击者获得受影响系统的本地权限。要利用此漏洞，攻击者需要对受影响系统的控制台进行物理访问。

此次更新在安装过程完成后，通过更改内置帐户行为来解决漏洞。

修复了严重漏洞

星期二活动日（Patch Tuesday）修复了12个严重的安全漏洞，这些漏洞允许攻击者远程代码执行，并在易受攻击的计算机上执行命令，从而实现完全控制计算机。

在12个严重漏洞中，其中8个位于Chakra脚本引擎（Chakra Scripting Engine）中。

• CVE-2018-8476  -  Windows部署服务TFTP服务器远程执行代码漏洞：
  

存在于Windows部署服务TFTP服务器中的安全漏洞通过处理内存中对象的方式，成功利用此漏洞的攻击者可以在目标系统上使用提升权限执行任意代码。

• CVE-2018-8541  -  Chakra脚本引擎内存损坏漏洞：

cChakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞通过Microsoft Edge，通过特指网站或者广告，也可能被利用。

• CVE-2018-8542  -  Chakra脚本引擎内存损坏漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞通过Microsoft Edge，通过特指网站或者广告，也可能被利用。

• CVE-2018-8543  -  Chakra脚本引擎内存损坏漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞也可以通过Microsoft Edge，通过特制网站或广告来利用。

目前，对于Windows Server 2016和2018，这被归类为中等，但对于所有其他Windows版本，这是严重的。

• CVE-2018-8544  -  Windows VBScript引擎远程执行代码漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。

此漏洞也可以通过Microsoft Edge，通过特制网站或广告来利用。攻击者还可以在承载IE呈现引擎的应用程序或Microsoft Office文档中嵌入标记为“安全初始化”的ActiveX控件。

• CVE-2018-8551  -  Chakra脚本引擎内存损坏漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞也可以通过Microsoft Edge，通过特制网站或广告来利用。

• CVE-2018-8553  -  Microsoft图形组件远程执行代码漏洞：

Microsoft Graphics Components处理内存中对象的方式里存在一个远程执行代码漏洞。成功利用此漏洞的攻击者可以在目标系统上执行任意代码。要利用此漏洞，用户必须打开特制文件。

• CVE-2018-8555  -  Chakra脚本引擎内存损坏漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞也可以通过Microsoft Edge，通过特制网站或广告来利用。

• CVE-2018-8556  -  Chakra脚本引擎内存损坏漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞也可以通过Microsoft Edge，通过特制网站或广告来利用。

• CVE-2018-8557  -  Chakra脚本引擎内存损坏漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞也可以通过Microsoft Edge，通过特制网站或广告来利用。

• CVE-2018-8588  -  Chakra脚本引擎内存损坏漏洞：

Chakra脚本引擎处理Microsoft Edge内存中对象的方式里存在一个远程执行代码漏洞。此漏洞也可以通过Microsoft Edge，通过特制的网站或广告来利用。

目前，对于Windows Server 2016和2018，这被归类为中等，但对于所有其他Windows版本，这是严重的。

• CVE-2018-8609  -  Microsoft Dynamics 365（内部部署）版本8远程执行代码漏洞：

当服务器无法正确清理对受影响的Dynamics服务器Web请求时，Microsoft Dynamics 365（内部部署）版本8中存在一个远程执行代码漏洞。

成功利用此漏洞的攻击者可以在SQL服务帐户的上下文中运行任意代码。经过身份验证的攻击者可以通过向易受攻击的Dynamics服务器发送特制请求来利用此漏洞。此安全更新通过更正Microsoft Dynamics 365（内部部署）版本8，验证和清理用户输入的方式来解决漏洞。

2018年11月补丁 Patch Tuesday安全更新

以下是November2018 Patch Tuesday更新解决的漏洞完整列表。

参考来源：

• bleepingcomputer

- End -

往期热门资讯：                                        

公众号ID：ikanxue
官方微博：看雪安全

商务合作：[e-mail]