一、漏洞概要
2020年10月14日（北京時間），微軟發(fā)布2020年10月份安全更新，共發(fā)布了87個CVE的補丁程序，同比上月降低42個，涵蓋了Azure Sphere、Microsoft Dynamics、Internet Explorer（IE）、Office、Microsoft Office SharePoint等眾多組件和軟件。
在漏洞安全等級方面，有11個被微軟官方標記為“Critical”，75個被標記為“Importent”。
在漏洞類型方面，有22個遠程代碼執(zhí)行漏洞，5個拒絕服務(wù)漏洞，36個權(quán)限提升漏洞以及15個信息泄露漏洞。
二、漏洞數(shù)據(jù)分析
2.1 微軟在2020年修復漏洞數(shù)量趨勢
截至2020年10月14日，微軟在2020年各月修復的漏洞數(shù)量及”critical”的漏洞數(shù)量如下所示：
總體上來看，微軟今年修復的漏洞數(shù)量降低到了87個。
10月份總計公布漏洞87個，趨勢由之前緩慢上升突然下降到今年二月份左右的水平，比上月降低了42個漏洞。
除6月之外，其余月份的嚴重等級漏洞和總漏洞數(shù)保持同趨勢（增加/降低）。
千里目實驗室在綜合考慮往年微軟公布漏洞數(shù)量和今年的特殊情況，初步估計微軟在11月份公布的漏洞數(shù)量可能維持在同等數(shù)量。嚴重類型漏洞數(shù)量應(yīng)該會維持在10個左右。
從側(cè)面看待數(shù)據(jù)問題，2020年漏洞公布數(shù)量和往年類似，十月份數(shù)量大幅降低，結(jié)束了長達七個月的高漏洞披露量的趨勢。
2.2 歷史10月份漏洞補丁情況對比
從漏洞數(shù)來看，2017年10月份發(fā)布的漏洞補丁數(shù)為62，2018年為61，2019年為59，而今年為87，漏洞補丁數(shù)對比趨勢如下圖：
從漏洞的危險等級來看，今年10月份漏洞的危險等級分布相較以往基本處于平穩(wěn)狀態(tài)，增長趨勢圖如下所示：
從漏洞總數(shù)來看，今年出現(xiàn)了明顯增長。微軟在2020年已經(jīng)連續(xù)7個月發(fā)布110個以上的CVE補丁程序，這是微軟有史以來連續(xù)發(fā)布CVE安全補丁數(shù)量最多的一年。到十月終于下降到110以下，但仍然比往年要多一些。
從漏洞的危險等級來看，“important”等級漏洞數(shù)量明顯增長。單個的重點高可利用漏洞并未出現(xiàn)過度增長，但單個具有普通影響力的漏洞明顯增多，這加大了漏洞利用鏈形成的風險。這種趨勢，對于APT組織或成熟的攻擊組織來說是一個利好消息，大幅度增加的普通影響力的漏洞提供了更多的攻擊路徑和攻擊手段組合的選擇。
從漏洞類型來看，權(quán)限提升漏洞(EoP)大幅增加。信息泄露漏洞(Info)小幅增加，遠程代碼執(zhí)行漏洞(RCE)數(shù)量相較于2017年降低，相較于2018和2019年有增長。同樣，信息泄露漏洞的增多有可能會擴大攻擊界面和攻擊路徑。權(quán)限提升漏洞(EoP)大幅增加，雖然影響力不如遠程代碼執(zhí)行漏洞，但是權(quán)限提升漏洞在內(nèi)網(wǎng)和局域網(wǎng)等場景下有很大的發(fā)揮空間，需要引起高度重視，尤其是在配合社工手段的前提下，甚至可以直接接管整個局域網(wǎng)并進行進一步擴展攻擊。欺騙類型漏洞(spoof)出現(xiàn)明顯增加，說明有更多的研究者開始關(guān)注邏輯類問題，這類問題基本符合產(chǎn)品自身的驗證機制，所以在防御上比較困難。而一旦成功利用spoof類型漏洞，大多可以直接實現(xiàn)代碼執(zhí)行，需要引起重視。
CVE-2020-16937，CVE-2020-16909，CVE-2020-16901，CVE-2020-16938，CVE-2020-16908，CVE-2020-16885六個漏洞已發(fā)現(xiàn)在野利用，不過漏洞類型均為信息泄露漏洞以及提權(quán)漏洞，沒有遠程代碼執(zhí)行漏洞，但仍需要適當引起重視。
三、10月重要漏洞分析
3.1 漏洞分析
Windows TCP/IP： CVE-2020-16898/16899，這兩個漏洞均為Windows TCP/IP的漏洞。攻擊者可以利用CVE-2020-16899漏洞進行拒絕服務(wù)攻擊，可以通過CVE-2020-16898漏洞執(zhí)行任意代碼。為了利用這些漏洞，攻擊者必須將特制的ICMPv6 Router Advertisement數(shù)據(jù)包發(fā)送到遠程的計算機上，使得遠程計算機在處理這些數(shù)據(jù)時邏輯出現(xiàn)了問題，導致內(nèi)存被破壞。
Microsoft SharePoint： CVE-2020-16951/16952，這兩個漏洞均為Microsoft SharePoint的遠程代碼執(zhí)行漏洞。當Microsoft SharePoint無法檢查應(yīng)用程序的源markup時，將存在遠程代碼執(zhí)行漏洞，這兩個漏洞均可以導致攻擊者在SharePoint中執(zhí)行任意代碼。CVE-2020-16941/16953/16948/16942/16950，這五個漏洞也均為Microsoft SharePoint的信息泄露漏洞，當Microsoft SharePoint Server無法正確處理內(nèi)存中的對象時，將會存在信息泄露漏洞。攻擊者可以通過登錄受影響的系統(tǒng)并運行特定的應(yīng)用程序來觸發(fā)信息泄露漏洞，也可以查看頁面上加載的腳本的文件夾路徑。
CVE-2020-16922，該漏洞為Windows欺騙漏洞，該漏洞主要是Windows驗證文件簽名時發(fā)生了錯誤，正確簽名的CAT證書文件即使附加了任意數(shù)據(jù)也仍然有效，當惡意文件進行了此種操作時，由于驗證檢查不完整，惡意文件的證書也是有效的，這將導致惡意文件會在受危害的系統(tǒng)中運行，該漏洞可能會被APT組織利用，需要注意防范。
3.2 影響范圍
3.3 修復建議
微軟官方已更新受影響軟件的安全補丁，用戶可根據(jù)不同版本系統(tǒng)下載安裝對應(yīng)的安全補丁，安全更新鏈接如下：
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16898
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16899
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16951
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16952
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16941
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16942
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16948
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16950
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16953
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-16922
3.4 緩解措施
以下緩解措施可能存在不穩(wěn)定性，我們更建議您及時更新補丁。
CVE-2020-16898/16899：
首先啟動PowerShell輸入”ipconfig /all”獲取網(wǎng)卡編號：
禁用ICMPv6 RDNSS，以防御漏洞：
在PowerShell中輸入以下命令：
netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=disable
如需使用相關(guān)功能，可重新啟用ICMPv6 RDNSS：
在PowerShell中輸入以下命令：
netsh int ipv6 set int *INTERFACENUMBER* rabaseddnsconfig=enable
注意：此解決方法僅適用于Windows 1709及更高版本；進行更改后，無需重新啟動。
四、參考鏈接
https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/2020-Oct
https://www.zerodayinitiative.com/blog/2020/10/13/the-october-2020-security-update-review
經(jīng)營性網(wǎng)站備案信息
可信網(wǎng)站信用評價
網(wǎng)絡(luò)警察提醒您
誠信網(wǎng)站
中國互聯(lián)網(wǎng)舉報中心
網(wǎng)絡(luò)舉報APP下載
