IT之家 11 月 20 日消息，微軟宣布，今年 11 月的 Patch Tuesday 總共修復了 60 多個安全漏洞，其中包括 5 個零日漏洞，據稱有 3 個已經(jing)被黑客(ke)利用(yong)。

IT之家發現，本月(yue)的零日漏(lou)洞都被分(fen)類為“重要”漏(lou)洞，其中(zhong)已(yi)被黑客利(li)用的漏(lou)洞包括涉及(ji) Windows DWM Core Library 的 CVE-2023-36033、與(yu) Windows Cloud Files Mini Filter Driver 相關的 CVE-2023-36036，以及(ji)可(ke)繞過(guo) Windows SmartScreen 安全功能(neng)的 CVE-2023-36025。

Windows DWM Core Library 中，DWM 的全名(ming)是 Desktop Window Manager，其主要功能是通過(guo)硬件加速來構(gou)建 Windows 的圖(tu)形(xing)用戶界面。不過(guo)微(wei)軟并未公布(bu)有關(guan) CVE-2023-36033 漏洞的詳(xiang)細信息，僅表示若(ruo)成(cheng)功攻擊將允許黑客獲取系統權限。

而影響 Windows Cloud Files Mini Filter Driver 的 CVE-2023-36036 也是(shi)一個權限漏洞(dong)，其中“Windows Cloud Files Mini Filter Driver”是(shi) Windows 的默認功(gong)能(neng)，專門用于管理云(yun)文(wen)件，而這一功(gong)能(neng)中存在的漏洞(dong)允許(xu)黑客(ke)直接獲取(qu)系統權限。

此外，CVE-2023-36025 漏洞允(yun)許(xu)黑客在繞(rao)過 Windows 安全(quan)工具(ju) SmartScreen 的檢查及提示下，令用(yong)(yong)戶點擊而已 URL 文件(jian) / 超鏈接后，從(cong)而侵入用(yong)(yong)戶設備。

除了以上三個已經被黑客利用的漏洞外，微軟還介紹了還有兩個已經公開但尚未受到攻擊的零日漏洞，分別是 CVE-2023-36038 和 CVE-2023-36413，前者是 ASP.NET Core 的服(fu)務漏(lou)洞，后者用于繞過 Microsoft Office 的安全功(gong)能(neng)。

在零日漏(lou)洞之外，本(ben)月有 3 個安全漏(lou)洞被列(lie)為“重大”等(deng)級，分別是 CVE-2023-36052、CVE-2023-36400 和 CVE-2023-36397。

其中(zhong)，CVE-2023-36052 是 Azure CLI REST Command 的(de)信(xin)息泄露漏洞(dong)，成功利用此漏洞(dong)的(de)黑客將能夠恢復由特定 CLI 命令創(chuang)建的(de)記錄，并在(zai) Azure DevOps 或(huo) GitHub Actions 發布(bu)的(de)日志文(wen)件中(zhong)找到明文(wen)密碼和用戶(hu)名。這意味著黑客可以通過存儲在(zai)開源庫中(zhong)的(de)日志文(wen)件得到用戶(hu)憑(ping)據信(xin)息。微軟建議受(shou)影響(xiang)的(de)用戶(hu)將 Azure CLI 升級至 2.53.1 或(huo)更高(gao)版本。

CVE-2023-36400 是 Windows HMAC 密鑰(yao)的權限擴展漏洞，成功攻擊將(jiang)允許黑客(ke)以低(di)權限在 Hyper-V Host 環(huan)境中運行(xing)惡意程序。

CVE-2023-36397 是(shi) Windows 中(zhong)一(yi)個名為(wei) Pragmatic General Multicast（PGM）組播協議中(zhong)的遠(yuan)程執行漏洞，其 CVSS 風險評分高達(da) 9.8，為(wei)本月微軟修復(fu)的安全漏洞中(zhong)風險最高的。

微軟聲稱(cheng)，當(dang) Windows 消息隊列服務(wu)在 PGM 服務(wu)器環(huan)境中運作(zuo)時，黑客只需通過網絡發送一個(ge)特定的文件就(jiu)能(neng)實現遠程執行惡(e)意程序，并可(ke)以讓受害者(zhe)主(zhu)動(dong)觸發惡(e)意代碼。

廣告聲明：文內含有的對外跳轉鏈接(jie)（包(bao)括不限于(yu)超(chao)鏈接(jie)、二(er)維碼(ma)、口令等形式），用于(yu)傳遞更多信息，節省甄選時間(jian)，結果僅(jin)供參考(kao)，IT之家所有文章均包(bao)含本聲明。