微软补丁星期二修复79个漏洞，含17个严重漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

微软在9月份的补丁星期二中发布了2个安全公告以及79个漏洞的更新，其中17个是严重级别的漏洞。所有用户均应尽快安装这些安全更新。奇安信代码卫士团队研究人员发现了两个分别为“严重”和“重要”级别的漏洞（CVE-2019-1217和 CVE-2019-1285）。另外微软还发布了非安全类的 Windows 更新。

Windows CTF 缺陷的补丁更新

2019年8月，谷歌Project Zero 团队的研究员 Tavis Ormandy 公开了各种 Windows CTF 漏洞，可导致低权限攻击者以提升后的权限启动程序。微软在8月份发布的补丁星期二中修复了其中一个相关漏洞 CVE-2019-1162，但表示将在后续更新中修复其它相关漏洞。

在9月份的安全更新中，微软修复了另外一个漏洞 CVE-2019-1235，属于 Windows 文本服务框架提权漏洞。微软指出，“Windows 文本服务框架 (TSF) 中存在一个提权漏洞。当 TSF 服务器进程并未验证所接收到的输入或命令来源时，就会存在该漏洞。成功利用该漏洞的攻击者能够注入命令或者读取通过恶意输入方法编辑器 (IME) 发送的输入。该漏洞仅影响已安装 IME 的系统。要利用该漏洞，攻击者首先需要登录系统。攻击者之后可运行特殊构造的可利用该漏洞的应用程序并控制受影响系统。该安全更新更正了 TSF 服务器和客户端如何相互验证各自输入的方法修复了该问题。”

更多远程桌面漏洞

说到补丁星期二，不得不提远程桌面漏洞。

微软在9月份的更新中修复了4个 CVE 漏洞，即CVE-2019-0787、CVE-2019-0788、CVE-2019-1290和 CVE-2019-1291，如连接到恶意服务器，则可导致远程代码执行后果。

微软指出，“当用户连接到恶意服务器时，Windows 远程桌面客户端就会产生远程代码执行漏洞。成功利用该漏洞的攻击者能够在连接客户端的计算机上执行任意代码。攻击者随后可以安装程序；查看、更改或删除数据；或者以完整的用户权限创建新账户。要利用这个漏洞，攻击者需要控制一台服务器，随后说服用户进行连接。攻击者需要通过社工、DNS投毒或使用中间人攻击技术诱骗用户用户连接至恶意服务器，而无法强制他们这么做。攻击者也可攻陷合法服务器、托管恶意代码并等待用户连接。”

3个公开发布的漏洞，2个已知利用

微软表示，三个漏洞均易遭公开，而两个漏洞已存在已知的利用代码。

遭公开的漏洞是：

• CVE-2019-1235：Windows 文本服务框架提权漏洞

• CVE-2019-1253：Windows 提权漏洞

• CVE-2019-1294：Windows 安全启动安全功能绕过漏洞

两个已遭利用的漏洞是：

• CVE-2019-1214：WindowsCommon Log File System Driver提权漏洞

• CVE-2019-1215：Windows 提权漏洞

微软并未说明这两个漏洞是如何遭利用的，不过 CVE-2019-1214是杀软公司发现的，因此很可能是一款恶意软件。尚不知晓谁发现了另一个漏洞。

发布两个安全公告

除了安全更新外，微软还发布了两个安全公告，解决了 Adobe Flash 中的两个严重的代码执行漏洞和 Windows 10 Servicing Stack Update 中的一个新漏洞（ADV 190022 和 ADV990001）。

点击“阅读原文”，参见更多漏洞情况。

推荐阅读

原文链接

https://www.bleepingcomputer.com/news/microsoft/microsofts-september-2019-patch-tuesday-fixes-79-vulnerabilities/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点，转载请注明“转自奇安信代码卫士 www.codesafe.cn”

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。