【漏洞通告】微軟11月多個安全漏洞

0x00 漏洞概述

2022年11月8日，微軟發佈了11月安全更新，本次更新修復了包括6個0 day漏洞在內的68個安全漏洞，其中有11個漏洞評級為「嚴重」。

0x01 漏洞詳情

本次發佈的安全更新涉及.NET Framework、Azure、Linux Kernel、Microsoft Exchange Server、Microsoft Office、Windows Hyper-V、Visual Studio、Windows ALPC、Windows Kerberos、Windows Mark of the Web (MOTW)、Windows Network Address Translation (NAT)、Windows ODBC Driver、Windows Point-to-Point Tunneling Protocol、Windows Print Spooler Components、Windows Scripting和Windows Win32K等多個產品和元件。

本次修復的68個漏洞（不包括2個OpenSSL 漏洞）中，27個為提取漏洞，16個為遠端程式碼執行漏洞，11個為資訊洩露漏洞，6個為拒絕服務漏洞，4個為安全功能繞過漏洞，以及3個欺騙漏洞。

微軟本次共修復了6個被積極利用的0 day漏洞，其中CVE-2022-41091已被公開披露：

CVE-2022-41128：Windows Scripting Languages遠端程式碼執行漏洞

該漏洞的CVSS評分為8.8，影響了JScript9手稿語言和多個Windows 版本，利用該漏洞需與使用者互動，目前已檢測到漏洞利用。

CVE-2022-41091：Windows Mark of the Web 安全功能繞過漏洞

該漏洞的CVSS評分為5.4，利用該漏洞需與使用者互動。可以製作惡意檔案來規避Mark of the Web (MOTW)防禦，從而導致 Microsoft Office 中的受保護視圖等依賴 MOTW 標記的安全功能受到影響。該漏洞已經公開披露，且已檢測到漏洞利用。

CVE-2022-41073：Windows Print Spooler 特權提升漏洞

該漏洞的CVSS評分為7.8，影響了Windows後臺列印程序，成功利用該漏洞的本地惡意使用者可以獲得SYSTEM許可權，目前已經檢測到漏洞利用。

CVE-2022-41125：Windows CNG Key Isolation Service特權提升漏洞

該漏洞的CVSS評分為7.8，影響了Windows CNG 金鑰隔離服務，成功利用該漏洞的本地惡意使用者可以獲得SYSTEM許可權，目前已經檢測到漏洞利用。

CVE-2022-41040：Microsoft Exchange Server 特權提升漏洞

該漏洞的CVSS評分為8.8，微軟於2022年9月30日首次披露該漏洞（Microsoft Exchange ProxyNotShell漏洞），成功利用該漏洞可以提升許可權，並在目標系統中運行PowerShell，但必須經過身份驗證，該漏洞已經檢測到漏洞利用。

CVE-2022-41082：Microsoft Exchange Server 遠端程式碼執行漏洞

該漏洞的CVSS評分為8.8，微軟於2022年9月30日首次披露該漏洞（Microsoft Exchange ProxyNotShell漏洞），經過身份驗證的惡意使用者可以通過網路調用在伺服器帳戶的上下文中觸發惡意程式碼，導致遠端程式碼執行，該漏洞已經檢測到漏洞利用。

微軟11月更新涉及的完整漏洞列表如下：

0x02 處置建議

目前微軟已發佈相關安全更新，建議受影響的使用者儘快修復。

（一） Windows update更新

自動更新：

Microsoft Update默認啟用，當系統檢測到可用更新時，將會自動下載更新並在下一次啟動時安裝。

手動更新：

1、點選「開始菜單」或按Windows快捷鍵，點選進入「設置」

2、選擇「更新和安全」，進入「Windows更新」（Windows 8、Windows 8.1、Windows Server 2012以及Windows Server 2012 R2可通過控制面板進入「Windows更新」，具體步驟為「控制面板」->「系統和安全」->「Windows更新」）

3、選擇「檢查更新」，等待系統將自動檢查並下載可用更新。

4、更新完成後重啟計算機，可通過進入「Windows更新」->「查看更新歷史記錄」查看是否成功安裝了更新。對於沒有成功安裝的更新，可以點選該更新名稱進入微軟官方更新描述連結，點選最新的SSU名稱並在新連結中點選「Microsoft 更新目錄」，然後在新連結中選擇適用於目標系統的補丁進行下載並安裝。

（二） 手動安裝更新

Microsoft官方下載相應補丁進行更新。

11月安全更新下載連結：

https://msrc.microsoft.com/update-guide/releaseNote/2022-Nov

補丁下載示例：

1.打開上述下載連結，點選漏洞列表中要修復的CVE連結。

例1：微軟漏洞列表示例（2月）

2.在微軟公告頁面底部左側【產品】選擇相應的系統類型，點選右側【下載】處打開補丁下載連結。

例2：CVE-2022-21989補丁下載示例

3.點選【安全更新】，打開補丁下載頁面，下載相應補丁並進行安裝。

例3：補丁下載界面

4.安裝完成後重啟計算機。

0x03 參考連結

https://msrc.microsoft.com/update-guide/releaseNote/2022-Nov

https://www.bleepingcomputer.com/news/microsoft/microsoft-november-2022-patch-tuesday-fixes-6-exploited-zero-days-68-flaws/

0x04 版本資訊