奇安信代码卫士帮助微软修复多个高危漏洞，获官方致谢和奖金
聚焦源代码安全，网罗国内外最新资讯！
近期，奇安信代码安全实验室研究员为微软发现三个漏洞，分别是CVE-2020-0848（“严重”级别）、CVE-2020-0877（“重要”级别）和CVE-2020-0762（“重要”级别），研究人员第一时间向微软报告并协助其修复漏洞。
北京时间2020年3月11日，微软发布了补丁更新公告以及致谢公告，公开致谢奇安信代码安全实验室研究人员，并颁发奖金。
图：微软官方致谢
漏洞概述
ChakraCore脚本引擎不正确地处理内存对象时触发该远程代码执行漏洞，引发内存损坏后果，导致攻击者可在当前用户上下文中执行任意代码。成功利用该漏洞的攻击者可获得和当前用户同样的用户权限。如当前用户以管理员用户权限登录，则成功利用该漏洞的攻击者能够控制受影响系统，随后以完整的用户权限执行一系列操作：安装程序；查看、修改或删除数据；或创建新账户。
“重要”级别的CVE-2020-0762 — WindowsDefender Security Center提权漏洞
当 WindowsDefender Security Center 不正确地处理内存中的某些对象时会导致该提权漏洞产生。攻击者首先登录系统，之后运行可利用该漏洞的特殊构造的命令获得提权。
“重要”级别的CVE-2020-0877 — Win32k 提权漏洞
当 Win32k 组件未能正确地处理内存对象时，导致该Windows 提权漏洞产生。成功利用该漏洞的攻击者能够在内核模式中运行任意代码，随后以完整的用户权限执行一系列操作：安装程序；查看、修改或删除数据；或创建新账户。
微软已解决上述问题，用户应尽快予以更新。
参考链接
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-0877
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-0848
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-0762
关于奇安信代码卫士
“奇安信代码卫士” 是奇安信集团旗下专注于软件源代码安全的产品线，代码卫士系列产品可支持 Windows、Linux、Android、Apple iOS、IBM AIX 等平台上的源代码安全分析，支持的编程语言涵盖 C、C++、C#、Objective-C、Java、JSP、JavaScript、PHP、Python、Go、区块链智能合约 Solidity 等。目前代码卫士已应用于上百家大型机构，帮助用户构建自身的代码安全保障体系，消减软件代码安全隐患。
奇安信代码安全实验室是奇安信代码卫士的研究团队，专门从事源代码、二进制漏洞挖掘和分析，主要研究方向包括：Windows / Linux / MacOS 操作系统、应用软件、开源软件、网络设备、IoT设备等。截至目前，奇安信代码安全实验室已经帮助谷歌、微软、苹果、Adobe、Cisco、Oracle、Linux内核组织、阿里云、D-Link、ThinkPHP、以太坊、各种开源组织等修复了100多个安全漏洞，并获得致谢。
当当当，福利来了！
奇安信代码卫士帮助微软修复Windows 内核漏洞，获官方致谢和奖金
奇安信代码卫士报送的漏洞获评“CNVD平台2019年度最具价值漏洞”
奇安信代码卫士帮助微软修复Edge浏览器和Windows内核高危漏洞，获官方致谢和奖金
奇安信代码卫士联合软件所帮助 Adobe 公司修复多个漏洞，获官方致谢
题图：Pixabay License
转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。