网安 - 专业的网络安全产业、社区、知识平台

【漏洞预警】CNNVD 关于微软多个安全漏洞的通报

VSole2018-12-18 21:07:11

近日，微软官方发布了多个安全漏洞的公告，包括Microsoft Internet Explorer 安全漏洞（CNNVD-201812-458、CVE-2018-8619）、Microsoft Excel安全漏洞（CNNVD-201812-466、CVE-2018-8597）等多个漏洞。成功利用上述漏洞可以在目标系统上执行任意代码。微软多个产品和系统受漏洞影响。目前，微软官方已经发布漏洞修复补丁，建议用户及时确认是否受到漏洞影响，采取修补措施。

一、 漏洞介绍

本次漏洞公告涉及Microsoft Internet Explorer 、Microsoft Outlook 、Microsoft Excel 、Microsoft PowerPoint 、Microsoft VBScript、Chakra 脚本引擎、.NET Framework、Microsoft 文本到语音转换等Windows平台下应用软件和组件。漏洞详情如下：

1、Internet Explorer 安全漏洞（CNNVD-201812-458、 CVE-2018-8619）

漏洞简介：Internet Explorer部分版本存在远程代码执行漏洞，当Internet Explorer VBScript 执行策略未正确限制 VBScript 时，可触发该漏洞。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。

2、Microsoft Outlook 安全漏洞（CNNVD-201812-469、 CVE-2018-8587）

漏洞简介：当 Microsoft Outlook 软件无法正确处理内存中的对象时，就会触发该漏洞。攻击者可以向目标系统发送经过特殊设计的文件，从而在当前用户权限下执行恶意代码。

3、Microsoft Excel安全漏洞（CNNVD-201812-466、 CVE-2018-8597）、（CNNVD-201812-446、 CVE-2018-8636）

漏洞简介：当 Microsoft Excel软件无法正确处理内存中的对象时，就会触发该漏洞。攻击者必须诱使用户使用Microsoft Excel打开经特殊设计的文件，才能利用此漏洞。成功利用此漏洞的攻击者可以在当前用户权限下执行恶意代码。

4、Microsoft PowerPoint安全漏洞（CNNVD-201812-451、CVE-2018-8628）

漏洞简介：当 Microsoft PowerPoint软件无法正确处理内存中的对象时，就会触发该漏洞。攻击者必须诱使用户使用 Microsoft PowerPoint打开经特殊设计的文件，才能利用此漏洞。成功利用此漏洞的攻击者可以在当前用户权限下执行恶意代码。

5、Microsoft VBScript安全漏洞（CNNVD-201812-454、CVE-2018-8625）

漏洞简介：当 Microsoft VBScript引擎无法正确处理内存中的对象时，就会触发该漏洞。攻击者必须诱使用户使用 Microsoft Internet Explorer打开经特殊设计的网页或诱使用户使用Microsoft Office 打开嵌入经特殊设计的 ActiveX 控件的文档等，才能利用此漏洞。成功利用此漏洞的攻击者可以在当前用户权限下执行恶意代码。

6、Microsoft .NET Framework安全漏洞（CNNVD-201812-472 、CVE-2018-8540）

漏洞简介：当 Microsoft .NET Framework 处理不受信任的输入时可能会触发该漏洞。成功利用漏洞的攻击者可以控制受影响的系统。攻击者可任意安装程序、查看、更改或删除数据、或者创建新帐户等。

7、Microsoft 文本到语音转换程序安全漏洞（CNNVD-201812-448、CVE-2018-8634）

漏洞简介：当Microsoft 文本到语音转换程序无法正确处理内存中的对象时，可能就会触发该漏洞。成功利用漏洞的攻击者可以控制受影响的系统。攻击者可任意安装程序、查看、更改或删除数据、或者创建新帐户等。

8、Chakra 脚本引擎安全漏洞（CNNVD-201812-450、CVE-2018-8629）、（CNNVD-201812-455、CVE-2018-8624）、（CNNVD-201812-459、CVE-2018-8618）、（CNNVD-201812-460、CVE-2018-8617）、（CNNVD-201812-470、CVE-2018-8583）

漏洞简介：Chakra 脚本引擎在 Microsoft Edge 中处理内存中的对象的时可能触发该漏洞。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理权限登录，攻击者便可以任意安装程序、查看、更改或删除数据。

9、Windows权限提升漏洞（CNNVD-201812-442、CVE-2018-8641）、（CNNVD-201812-443、CVE-2018-8639）、（CNNVD-201812-462、CVE-2018-8611）

漏洞简介：当Windows内核无法正确处理内存中的对象时，可能就会触发该漏洞。攻击者首先必须登录到系统。然后运行一个经特殊设计的应用程序，才能利用此漏洞。成功利用漏洞的攻击者可以在内核模式中运行任意代码。攻击者可任意安装程序、查看、更改或删除数据、或者创建新帐户等。若要利用此漏洞，

二、修复建议

目前，微软官方已经发布补丁修复了上述漏洞，建议用户及时确认漏洞影响，采取修补措施。微软官方链接地址如下：

1、Internet Explorer 安全漏洞（CNNVD-201812-458、 CVE-2018-8619）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8619

2、Microsoft Outlook 安全漏洞（CNNVD-201812-469、 CVE-2018-8587）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8587

3、Microsoft Excel安全漏洞（CNNVD-201812-466、 CVE-2018-8597）、（CNNVD-201812-446、 CVE-2018-8636）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8597

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8636

4、Microsoft PowerPoint安全漏洞（CNNVD-201812-451、CVE-2018-8628）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8628

5、Microsoft VBScript安全漏洞（CNNVD-201812-454、CVE-2018-8625）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8625

6、Microsoft .NET Framework安全漏洞 （CNNVD-201812-472 、 CVE-2018-8540）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8540

7、Microsoft 文本到语音转换程序安全漏洞（CNNVD-201812-448、 CVE-2018-8634）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8634

8、Chakra 脚本引擎安全漏洞（CNNVD-201812-450、CVE-2018-8629）、（CNNVD-201812-455、 CVE-2018-8624）、（CNNVD-201812-459、 CVE-2018-8618）（ CNNVD-201812-460、 CVE-2018-8617）、（CNNVD-201812-470、 CVE-2018-8583）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8617

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8618

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8624

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8629

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8583

9、Windows权限提升漏洞（CNNVD-201812-442、 CVE-2018-8641）、（CNNVD-201812-443、 CVE-2018-8639）、（CNNVD-201812-462、 CVE-2018-8611）

官方链接：

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8641

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8639

https://portal.msrc.microsoft.com/zh-CN/security-guidance/advisory/CVE-2018-8611

信息安全网络安全
本作品采用《CC 协议》，转载必须注明作者和本文链接
卓越网络安全人才高峰论坛暨第四届“长城杯”信息安全铁人三项赛全国总决赛成功举办
2023-05-04 10:47:08
中国信息产业商会秘书长张安安为此次总决赛致开幕词。大赛经预赛、复赛，全国80所高校队伍、450名师生会师本次总决赛。活动最后，出席本次大会的沈昌祥院士、黄殿中院士以及来自福州新区管委会、中国信息安全测评中心、西普科技和神州数码的专家领导，为本届大赛中表现优异的院校代表队进行了颁奖。
2023年全球网络安全就业形势展望
2023-06-29 09:23:48
尽管如此，Combs和其他专家预测，未来一年对网络安全岗位的招聘需求仍将保持稳定。虽然不一定大幅增长，但Combs表示，招聘重点将转向更具战略价值、更关键的职位。Combs和其他职业战略师建议网络安全工作的申请人花更多时间准备面试，抓住机会使自己脱颖而出。如今开源学习机会和职业发展资源之多前所未有，Combs建议行业新人充分利用所有这些资源，但要远离那些声称保证就业的训练营。
SANS Institute 安全漏洞：电子邮件泄露 28,000 个用户记录曝光
2020-08-13 10:06:28
SANS Institute遭受数据泄露，包含个人身份信息(PII)的28,000个用户记录被曝光。 8月6日，在审查电子邮件配置和规则时，SANS Institute的工作人员发现了一个安全漏洞。28,000条个人身份信息（PII）记录已转发至未知...
基于密码的数据安全防护体系研究
2023-03-24 16:46:01
标准规范是对法律法规的支撑，细化具体行业或领域要求，量化具体行为，确保其活动和结果能够符合需要。自2020年以来，我国有关电信运营商、航空公司等单位的内网和信息系统先后多次出现越权登录、数据外传等异常网络行为，疑似遭受网络攻击。通过进一步深入调查证实，相关攻击活动是由某境外间谍情报机关精心策划、秘密实施的。在此阶段需防止无授权入侵以及数据泄露。
《信息安全技术 网络安全产品互联互通告警信息格式》等4项国家标准征求意见稿发布
2024-01-08 15:14:56
近日，全国信息安全标准化技术委员会秘书处发布了《信息安全技术 网络安全产品互联互通 告警信息格式》《信息安全技术 信息安全风险管理指导》《信息安全技术 信息安全管理体系 要求》《信息安全技术 网络安全产品互联互通 资产信息格式》四项国家标准征求意见稿。
《信息安全技术网络安全信息共享指南》
2021-12-18 19:39:26
全国信息安全标准化技术委员会归口的国家标准《信息安全技术网络安全信息共享指南》现已形成标准征求意见稿。 根据《全国信息安全标准化技术委员会标准制修订工作程序》要求，现将该标准征求意见稿面向社会公开征求意见。标准相关材料已发布在信安标委网站，如有意见或建议请于2022年2月15日24:00前反馈秘书处。
国家标准《信息安全技术 网络安全保险应用指南》征求意见稿发布
2023-09-18 09:51:56
2023年9月13日，全国信息安全标准化技术委员会秘书处发布《信息安全技术 网络安全保险应用指南》（以下简称《应用指南》）征求意见稿。
VSole
网络安全专家