0x00 漏洞概述
2021年9月14日，Microsoft發(fā)布了9月份的安全更新，本次發(fā)布的安全更新修復(fù)了包括2個(gè)0 day漏洞在內(nèi)的60個(gè)安全漏洞(包括MicrosoftEdge 為86個(gè)漏洞)，其中有3個(gè)漏洞評(píng)級(jí)為嚴(yán)重，56個(gè)漏洞評(píng)級(jí)為高危，1個(gè)漏洞評(píng)級(jí)為中危。
0x01 漏洞詳情
本次發(fā)布的安全更新涉及Azure、Microsoft Edge、Microsoft Office、Microsoft Windows DNS、Visual Studio、Windows Installer、Windows SMB、Windows Kernel和Windows Update等多個(gè)產(chǎn)品和組件。
在86個(gè)漏洞中(包括Microsoft Edge)，27個(gè)為權(quán)限提升漏洞，2個(gè)為安全功能繞過漏洞，16個(gè)為遠(yuǎn)程代碼執(zhí)行漏洞，11個(gè)為信息泄露漏洞，1個(gè)為拒絕服務(wù)漏洞，以及8個(gè)欺騙漏洞。
Microsoft本次修復(fù)的2個(gè)0 day漏洞包括：
● Windows DNS 權(quán)限提升漏洞(CVE-2021-36968)
該漏洞的CVSSv3評(píng)分為7.8，攻擊復(fù)雜度和所需權(quán)限低，且無需用戶交互即可被本地利用。目前此漏洞已公開披露，但未被積極利用。
● Microsoft MSHTML 遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-40444)
該漏洞為MSHTML (Internet Explorer 和 Office 使用的組件) 中影響Microsoft Windows 的遠(yuǎn)程代碼執(zhí)行漏洞，該漏洞已檢測(cè)到在野利用，目前已被修復(fù)。Microsoft已于9月7日提前發(fā)布公告，詳情請(qǐng)參考Microsoft官方公告或VSRC發(fā)布的安全通告。
3個(gè)評(píng)級(jí)為嚴(yán)重的漏洞包括：
● Azure Open Management Infrastructure遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-38647)
該漏洞的CVSSv3評(píng)分為9.8，無需用戶交互即可遠(yuǎn)程利用。Microsoft的可利用性評(píng)估將其評(píng)估為不太可能被利用。
● Windows 腳本引擎內(nèi)存損壞漏洞(CVE-2021-26435)
該漏洞可導(dǎo)致Windows 腳本引擎中的遠(yuǎn)程代碼執(zhí)行，但利用此漏洞需要攻擊者誘使用戶單擊鏈接，然后打開惡意文件，該漏洞的CVSSv3 評(píng)分為8.8。
● Windows WLAN AutoConfig 服務(wù)遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-36965)
該漏洞無需用戶交互，且攻擊復(fù)雜度低，其CVSSv3評(píng)分為 8.8。
此外，本次修復(fù)的關(guān)鍵漏洞(應(yīng)優(yōu)先修復(fù))還包括：
● Windows Common Log File System Driver權(quán)限提升漏洞(CVE-2021-38633、 CVE-2021-36963)
這2個(gè)漏洞的CVSSv3評(píng)分均為 7.8，且無需用戶交互即可被本地利用，攻擊者可以利用這些漏洞來提升權(quán)限并更改目標(biāo)系統(tǒng)。Microsoft的可利用性評(píng)估將這2個(gè)漏洞評(píng)估為更有可能被利用。
● Windows Print Spooler 權(quán)限提升漏洞(CVE-2021-38671)
該漏洞的CVSSv3評(píng)分為 7.8，無需用戶交互即可被本地利用。Microsoft的可利用性評(píng)估將其評(píng)估為更有可能被利用。
0x02 處置建議
目前Microsoft已發(fā)布相關(guān)安全更新，鑒于漏洞的嚴(yán)重性，建議受影響的用戶盡快修復(fù)。
(一) Windows update更新
自動(dòng)更新：
Microsoft Update默認(rèn)啟用，當(dāng)系統(tǒng)檢測(cè)到可用更新時(shí)，將會(huì)自動(dòng)下載更新并在下一次啟動(dòng)時(shí)安裝。
手動(dòng)更新：
1、點(diǎn)擊“開始菜單”或按Windows快捷鍵，點(diǎn)擊進(jìn)入“設(shè)置”
2、選擇“更新和安全”，進(jìn)入“Windows更新”(Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通過控制面板進(jìn)入“Windows更新”，具體步驟為“控制面板”->“系統(tǒng)和安全”->“Windows更新”)
3、選擇“檢查更新”，等待系統(tǒng)將自動(dòng)檢查并下載可用更新。
4、重啟計(jì)算機(jī)，安裝更新系統(tǒng)重新啟動(dòng)后，可通過進(jìn)入“Windows更新”->“查看更新歷史記錄”查看是否成功安裝了更新。對(duì)于沒有成功安裝的更新，可以點(diǎn)擊該更新名稱進(jìn)入微軟官方更新描述鏈接，點(diǎn)擊最新的SSU名稱并在新鏈接中點(diǎn)擊“Microsoft 更新目錄”，然后在新鏈接中選擇適用于目標(biāo)系統(tǒng)的補(bǔ)丁進(jìn)行下載并安裝。
(二)手動(dòng)安裝更新
Microsoft官方下載相應(yīng)補(bǔ)丁進(jìn)行更新。
下載鏈接：https://msrc.microsoft.com/update-guide/vulnerability
0x03 參考鏈接
https://msrc.microsoft.com/update-guide/vulnerability
https://mp.weixin.qq.com/s/z3uAX0Z5VUM-VlYVAW_kPg
https://www.bleepingcomputer.com/news/microsoft/microsoft-september-2021-patch-tuesday-fixes-2-zero-days-60-flaws/
https://blog.qualys.com/vulnerabilities-threat-research/2021/09/14/microsoft-and-adobe-patch-tuesday-september-2021-microsoft-60-vulnerabilities-with-3-critical-adobe-61-vulnerabilities
0x04 更新版本
0x05 文檔附錄
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
CVSS：www.first.org
NVD：nvd.nist.gov
來源：維他命安全
