2023年1月微软补丁星期二值得关注的漏洞

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

2023年1月补丁星期二，微软共修复了98个漏洞，其中1个是0day。这些漏洞中，11个是“严重”级别，87个是“重要”级别。该0day已遭在野利用。

已遭利用的0day

CVE-2023-21674是位于Windows ALPC 中的一个提权漏洞，已遭利用。它可导致本地攻击者将Chromium中的沙箱执行权限提升至内核级别的执行和完整的系统权限。这种漏洞类型通常与某些代码执行漏洞组合利用，传播恶意软件或勒索软件。鉴于该漏洞是由Avast公司的研究员报送的，因此这种场景很可能发生。

“严重”级别的漏洞

CVE-2023-21734是微软SharePoint服务器安全特性绕过漏洞。被评级为“严重”级别的安全特性绕过漏洞极其少见，但这一漏洞似乎够格。该漏洞可导致远程未认证攻击者与受影响的SharePoint服务器进行匿名连接。系统管理员需要采取额外措施，完全防御该漏洞。要完全解析该漏洞，用户必须触发也包含在该更新中的一个SharePoint 升级操作。微软还说明了详细操作。

CVE-2023-21763/CVE-2023-21764是位于微软Exchange Server中的一个提权漏洞。该漏洞是由CVE-2022-41123修复失败造成的。本地攻击者可加载其DLL并以系统权限执行代码。最近发布的一份报告显示，近7万台未修复的Exchange服务器可从互联网访问。如果用户运行的是本地Exchange 服务器，则需要迅速测试并修复所有服务器。希望微软这次正确修复了这些漏洞。

微软还提到，Windows SMB Witness Service 提权漏洞 (CVE-2023-21549) 已遭公开。不过，Akamai公司的安全研究员 Stiv Kupchik 指出，按照一般的披露流程来看，该漏洞不应被列为公开披露。

在本次漏洞补丁星期二中，微软共修复了39个提权漏洞、4个安全特性绕过漏洞、33个远程代码执行漏洞、10个信息泄露漏洞、10个拒绝服务漏洞和2个欺骗漏洞。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

原文链接

https://www.zerodayinitiative.com/blog/2023/1/10/the-january-2023-security-update-review

https://www.bleepingcomputer.com/news/microsoft/microsoft-january-2023-patch-tuesday-fixes-98-flaws-1-zero-day/

题图：Pixabay License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~