微软四月补丁星期二值得关注的漏洞
编译：代码卫士
本月，微软公司发布了97个新补丁，其中修复的7个漏洞是“严重”等级，其余90个是“重要”级别。虽然这一数量与以往年份一致，但远程代码执行漏洞的数量占本次发布的近一半比例，这种情况比较少见。另外，微软本月并未修复温哥华 Pwn2Own 2023 大赛中披露的任何漏洞。在这些漏洞中，有一个已遭利用。
CVE-2023-28252 是位于 Windows Common Log File System 驱动中的提权漏洞，已遭利用。该漏洞之所以看起来眼熟，是因为两个月前，同样的组件中修复了一个类似的 0day。这说明你原始修复方案并不充分，攻击者已经找到绕过该修复方案的方法。和2月一样，目前并未透露这些攻击的影响范围。攻击者通常组合利用这类 exploit 和代码执行漏洞传播恶意软件或勒索软件。用户应快速测试并部署该补丁。
CVE-2023-21554 是位于微软消息队列中的远程代码执行漏洞，CVSS 评分9.8。该漏洞可导致远程未认证攻击者以提升后的权限在受影响的已启用消息队列服务的服务器上运行代码。该服务虽然默认是禁用的，但通常用于很多通讯中心应用中。它默认监听 TCP 端口1801，因此在范围内拦截该服务将阻止外部攻击。不过，目前尚不清楚这样做对运营的影响，用户应测试并部署该更新。
CVE-2023-23384是位于 Microsoft SQL 服务器中的远程代码执行漏洞。这是微软在2月份发布的静默补丁，现在只是公开而已。静默打补丁产生的问题不必赘言。该补丁修复了位于 SSQLcmd 工具中的一个界外写漏洞，可导致远程未认证攻击者以提升后的权限利用代码。虽然并未给出CVSS评分，但由于攻击者一次仅能控制一些字节，因此利用复杂度较高。服务器崩溃是更可能产生的后果。如果用户运行的是 SQL 服务器，则应阅读累积更新表，确保同时安装了2月份和4月份的更新。
CVE-2013-3900 是位于 WinVerifyTrust 中的签名验证漏洞。从编号可看到，该漏洞已存在10年之久。攻击者最近利用该漏洞发动 3CX 供应链攻击。过去这个补丁是”opt-in’模式，意味着管理员必须选择加入后才能获得该修复方案。本次修订增加了对其它平台的修复方案并为企业发布了进一步的建议。用户应查看所有建议，并采取必要措施保护环境安全。
https://www.zerodayinitiative.com/blog/2023/4/11/the-april-2023-security-update-review
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。