微软补丁星期二：修复多个严重 RCE 和IE 0day

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

微软在3月补丁星期二发布了89个修复方案，修复位于IE浏览器和 Edge 浏览器、Office 和 Azure 中的多个漏洞，含可用于远程执行任意代码的向量。

除此之外，微软还发布7带外更新，修复了上周公布的 Exchange Server 漏洞，其中4个是已遭在野利用的0day：

• CVE-2021-26855 是一个位于 Exchange 中的服务器端请求伪造漏洞，可使攻击者发送任意 HTTP 请求并以 Exchange 服务器身份验证。

• CVE-2021-26857位于Unified Messaging服务中的不安全的反序列化漏洞。不安全的反序列化即不受信任的用户可控数据被程序反序列化。利用该漏洞可使攻击者以系统权限在 Exchange 服务器上运行代码，不过需要获得管理员权限或结合利用另外一个漏洞才能运行代码。

• CVE-2021-26858 是存在于 Exchange 中的一个验证后任意文件写入漏洞。如攻击者能够以 Exchange 服务器身份验证，则能够利用该漏洞将文件写入服务器任意路径中。攻击者可利用 CVE-2021-26855 SSRF 漏洞进行验证或攻陷合法管理员的凭证进行验证。

此外，Microsoft Windows Codecs Library、Windows Admin Center、DirectX、Event Tracing、Registry、Win32K 和 Windows Remote Access API 等功能和服务也收到安全更新。

在这些漏洞中，共有14个“严重“级别漏洞，大多数漏洞可导致远程代码执行后果，余下漏洞是“重要”级别。

修复IE 0day

另外，微软还修复了IE 浏览器中已遭在野利用的漏洞 CVE-2021-26411。Immersive Labs 的网络威胁研究总监 Kevin Breen 指出，“这种 exploit 将使攻击者获得和网站访客同样的操作系统权限。因此，如果你以标准用户身份浏览互联网，则攻击者将获得和用户一样能够访问文件系统的权限以及对操作系统进行有限访问的权限。如果你以管理员身份访问互联网，则攻击者将获得对文件系统和操作系统完全不受限的访问权限。“

另外修复的严重漏洞还包括 CVE-2021-27074 和 CVE-2021-27080（Azure Sphere 中的代码执行漏洞）以及CVE-2021-26897（Windows DNS Server 中的 RCE 漏洞）。

此外，微软今天还宣布 Edge Legacy 桌面应用支持将达到生命周期。该应用将在4月份 Windows 10 的月度安全更新中被新的 Edge 版本取代。

推荐阅读

微软披露首个由中国发现的蠕虫级漏洞 奇安信代码安全实验室获致谢
接管任意微软账户并获$5万赏金的故事
微软补丁星期二修复已遭利用的 Defender 0day

参考链接

https://www.zdnet.com/article/microsoft-march-patch-tuesday-critical-remote-code-execution-flaws-fixed/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的

产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~