国产成人毛片毛片久久网_国产午夜激无码av毛片不_国产乱对白精彩在线播放_av资源站中文字幕_亚洲男人的天堂网站_国产成 人 综合 亚洲网_中国国产激情一区_少妇一级淫片免费放_亚洲一本大道av久在线播放_免费观看美女裸体网站

Microsoft于2020年6月發(fā)布的安全更新修補(bǔ)了129個(gè)漏洞，其中包括11個(gè)嚴(yán)重的遠(yuǎn)程執(zhí)行代碼漏洞，這些漏洞影響Windows，Edge和Internet Explorer瀏覽器以及SharePoint。

在Windows，瀏覽器，Office，Windows Defender，Dynamics，Visual Studio，Azure DevOps和Android應(yīng)用程序中發(fā)現(xiàn)了被評(píng)為重要嚴(yán)重級(jí)別的漏洞。CyberArk（及其他）發(fā)現(xiàn)了其中一個(gè)缺陷，即與Windows組策略對(duì)象（GPO）機(jī)制相關(guān)的特權(quán)升級(jí)問(wèn)題，并且該網(wǎng)絡(luò)安全公司已發(fā)布了一篇博客文章，詳細(xì)介紹了其發(fā)現(xiàn)。

本月修補(bǔ)的安全漏洞沒(méi)有一個(gè)被利用，也沒(méi)有在修復(fù)程序發(fā)布之前被披露。

趨勢(shì)科技的零日活動(dòng)（ZDI）指出，這是微軟連續(xù)第四個(gè)月發(fā)布了針對(duì)110多個(gè)CVE的補(bǔ)丁程序，這是一個(gè)月內(nèi)發(fā)布的補(bǔ)丁程序數(shù)量最多。到目前為止，今年迄今為止發(fā)布的補(bǔ)丁總數(shù)為616，幾乎與2017年修復(fù)的總數(shù)一樣多。

來(lái)自多家網(wǎng)絡(luò)安全公司的專家對(duì)本月的補(bǔ)丁發(fā)表了評(píng)論：

趨勢(shì)科技ZDI計(jì)劃的傳播經(jīng)理Dustin Childs：

“存在一個(gè)嚴(yán)重等級(jí)的SharePoint錯(cuò)誤，如果經(jīng)過(guò)身份驗(yàn)證的用戶設(shè)法在受影響的SharePoint版本上創(chuàng)建并調(diào)用特制頁(yè)面，則該漏洞將允許遠(yuǎn)程執(zhí)行代碼。ZDI將在即將發(fā)表的博客文章中分享有關(guān)此錯(cuò)誤的更多信息。

Mac用戶謹(jǐn)防CVE-2020-1229 –該錯(cuò)誤可能使攻擊者即使在“預(yù)覽窗格”中也可以自動(dòng)加載遠(yuǎn)程圖像。雖然僅此旁路就可以公開(kāi)目標(biāo)系統(tǒng)的IP地址，但通過(guò)處理特制圖像來(lái)執(zhí)行代碼并不是聞所未聞的事情（請(qǐng)參閱任何GDI +錯(cuò)誤）。修補(bǔ)程序適用于基于Windows的Office版本，但Mac版Office 2016和Mac版Office 2019的修補(bǔ)程序尚不可用。

針對(duì)特權(quán)提升（EoP）錯(cuò)誤的補(bǔ)丁程序本月將成為中心焦點(diǎn)，共解決了70個(gè)問(wèn)題。在這70個(gè)補(bǔ)丁中，總共有19個(gè)修復(fù)了Windows內(nèi)核和內(nèi)核模式驅(qū)動(dòng)程序中的錯(cuò)誤。

本月要解決的最著名的欺騙錯(cuò)誤是針對(duì)Microsoft Bing Search for Android的補(bǔ)丁。由于這是一個(gè)Android應(yīng)用程序，因此該更新可在Google Play商店中找到，并且必須手動(dòng)安裝。

本月修補(bǔ)了14個(gè)信息泄露錯(cuò)誤，但只有兩個(gè)-CVE-2020-1242和CVE-2020-1296 –可能泄漏PII。”

Checkmarx安全研究主管Erez Yalon：

“Microsoft’s latest fixes in its June Patch Tuesday update show that when it comes to vulnerabilities, what’s old is new again. The same vulnerabilities we’ve seen appear in Adobe Flash over the past few years, along with common cross-site-scripting (XSS) issues, were addressed this month. As witnessed within Microsoft Office SharePoint, there were multiple XSS vulnerabilities identified in the same product -- this could be the result of a researcher who found one flaw and decided to continue digging, or Microsoft itself going through similar flows of code to try to fix them all.

無(wú)論如何，這提醒我們，如果攻擊者發(fā)現(xiàn)一個(gè)漏洞，他們將立即繼續(xù)在同一代碼庫(kù)中尋找相似的漏洞。這種策略在其他人被修補(bǔ)和關(guān)閉的情況下為您提供了更多的機(jī)會(huì)，并可以使用各種攻擊方案�！�

情報(bào)分析師艾倫·利斯卡（Allan Liska），《記錄的未來(lái)》：

“本月以CVE-2020-1281開(kāi)始，CVE-2020-1281是Microsoft對(duì)象鏈接和嵌入（OLE）中的一個(gè)遠(yuǎn)程代碼執(zhí)行漏洞。此漏洞影響Windows 7至10和Windows Server 2008至2019。該漏洞以O(shè)LE驗(yàn)證用戶輸入的方式存在。發(fā)送了特制文件或程序，或誘使受害者下載了文件或程序的攻擊者，可以在受害者的計(jì)算機(jī)上執(zhí)行惡意代碼。Microsoft將此漏洞的CVSS評(píng)分定為7.8。一個(gè)類似的漏洞CVE-2017-0199已被Lazarus組和APT 34廣泛利用。

微軟還披露了SharePoint遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-1181。該漏洞是SharePoint處理不安全的ASP.Net Web控件的方式。該漏洞影響SharePoint 2010到2019年，并且要求用戶進(jìn)行身份驗(yàn)證才能利用它。盡管Microsoft認(rèn)為該漏洞的利用可能性較小，但SharePoint越來(lái)越受到威脅參與者的攻擊。

Microsoft Excel本月有兩個(gè)遠(yuǎn)程代碼執(zhí)行漏洞CVE-2020-1225和CVE-2020-1226。Excel處理內(nèi)存中對(duì)象的方式都存在這兩個(gè)漏洞。攻擊者可以通過(guò)發(fā)送特制的Excel文檔或?qū)⑵渫泄茉诰W(wǎng)站上來(lái)利用這些漏洞。如果易受攻擊的用戶打開(kāi)文檔，則攻擊者將以與受害者相同的特權(quán)級(jí)別訪問(wèn)遠(yuǎn)程系統(tǒng)。長(zhǎng)期以來(lái)，Excel一直是威脅行為者（尤其是那些參與勒索軟件的威脅者）的常見(jiàn)交付方式，并且威脅行為者已經(jīng)非常擅長(zhǎng)快速利用Excel漏洞進(jìn)行武器化。

CVE-2020-1299是Microsoft處理.LNK文件的方式中的一個(gè)遠(yuǎn)程執(zhí)行代碼漏洞。此漏洞影響Windows 7至10和Windows Server 2008至Windows Server2019。為了利用此漏洞，攻擊者需要提供包含惡意.LNK文件的可移動(dòng)驅(qū)動(dòng)器或遠(yuǎn)程驅(qū)動(dòng)器共享。2020年3月，Microsoft宣布了一個(gè)類似的漏洞CVE-2020-0684，人們非常擔(dān)心它在首次發(fā)布時(shí)就已被利用，但迄今為止，還沒(méi)有在野外被利用。”

Rapid7高級(jí)軟件工程師Richard Tsang：

“本月，Windows本身的核心組件（包括內(nèi)核）中存在大量漏洞，涵蓋了129個(gè)漏洞中的54個(gè)。不再常見(jiàn)的是兩個(gè)與Windows Media相關(guān)的值得注意的漏洞（CVE-2020-1238，CVE-2020-1239），我?guī)缀鯇⑵渑c“瀏覽器漏洞”捆綁在一起，因?yàn)樗�的可能媒介是惡意網(wǎng)頁(yè)。

在瀏覽器漏洞方面，我們繼續(xù)強(qiáng)調(diào)良好安全做法和衛(wèi)生的重要性，即不要單擊（或安裝）隨機(jī)鏈接（應(yīng)用程序）。本月提到的11個(gè)關(guān)鍵RCE中的5個(gè)（CVE-2020-1213，CVE-2020-1216，CVE-2020-1219，CVE-2020-1073，CVE-2020-1260）是基于瀏覽器的，可以通過(guò)很好地緩解實(shí)踐。盡管如此，總是最好進(jìn)行修補(bǔ)，例如CVE-2020-1213（這是VBScript RCE，攻擊者還可以在其中嵌入標(biāo)記為“初始化安全”的ActiveX控件）。

就緊急程度而言，關(guān)鍵的遠(yuǎn)程執(zhí)行漏洞通常是優(yōu)先考慮的選擇補(bǔ)丁。幸運(yùn)的是，本月有11個(gè)關(guān)鍵RCE漏洞中，有10個(gè)可以通過(guò)操作系統(tǒng)補(bǔ)丁修復(fù)。剩下的CVE-2020-1181是一個(gè)SharePoint修補(bǔ)程序，它將更加依賴于您的環(huán)境。

最后但并非最不重要的一點(diǎn)是，我想感謝本月已解決的SMBv3漏洞。早在2020年3月披露的CVE-2020-0796（最初為安全咨詢ADV200005）現(xiàn)在看到針對(duì)未修補(bǔ)系統(tǒng)的功能PoC 。幸運(yùn)的是，這些漏洞（CVE-2020-1206，CVE-2020-1284）繼續(xù)影響1903版及更高版本的Windows 10變體。但是，所有這些漏洞之間都有一個(gè)共同點(diǎn)，那就是可以通過(guò)禁用SMBv3壓縮來(lái)實(shí)現(xiàn)緩解，這被認(rèn)為對(duì)性能沒(méi)有負(fù)面影響。有補(bǔ)丁，補(bǔ)丁將永遠(yuǎn)是一個(gè)可靠的策略，但是很高興知道替代方案是什么�！�