补丁星期二：微软修复了关键的Windows错误和Word漏洞

对于9月的补丁星期二，微软提供了几个更新来修复59个漏洞。微软将5个漏洞归类为严重漏洞，除1个漏洞外，其余为高风险漏洞。这些严重漏洞会影响Windows、Visual Studio和Azure。Word中的一个漏洞已经被利用。微软在安全更新指南中提供了有关漏洞的少量详细信息，以供自我搜索。

Dustin Childs在Trend Micro ZDI博客中以更清晰的方式介绍了Patch Tuesday的主题–总是着眼于管理公司网络的管理员。

浏览器更新

Edge的最新安全更新是从9月7日开始的116.0.1938.76版本。它基于Chromium 116.0.5845.180，并修复了Chromium基础上的几个漏洞。然而，谷歌本周已经发布了两个新的Chrome更新，修复了更多的漏洞，包括一个0天漏洞。自2月份转向Chromium 110以来，Edge不再像所有基于Chromium的浏览器那样在Windows 7或8.x系统上运行。

Office漏洞

微软记录了其Office产品的八个安全漏洞。其中包括Word中的远程代码执行(RCE)漏洞(CVE-2023-36762)。另一方面，词VULNERABLE CVE-2023-36761被微软报告为数据泄漏。它已经被利用进行攻击。攻击者可以泄露他可以用于NTLM中继攻击的NTLM哈希。因此，趋势科技ZDI博客的达斯汀·查尔兹认为，将漏洞归类为欺骗漏洞更合适。如果将适当准备的Word文件作为邮件附件发送，也可以通过Outlook预览利用此Word漏洞进行攻击。

Windows中的漏洞

一些漏洞，这次是21个，分布在不同的Windows 10和11版本中。安全报告中不再提及Windows 7和8.1，但它们可能是易受攻击的。只要系统要求允许，您应该切换到Windows 10(22H2)或Windows 11以继续获取安全更新。Windows 10 21H2上一次收到更新是在6月份。

Microsoft指定为严重的唯一Windows漏洞与Internet连接共享(ICS)有关。如果攻击者在启用ICS时与目标计算机位于同一网段，则他们可以使用特制的网络数据包插入和执行代码。默认情况下，ICS不会激活。

微软已经关闭了EdgeHTML脚本引擎、Miracast和Windows主题中被评为高风险的RCE漏洞。后一个漏洞(CVE-2023-38146)允许攻击者使用特制的主题文件插入和执行代码。这让人想起20年前使用屏幕保护程序进行的类似攻击。微软已经修复了3D Builder应用程序中的七个漏洞，其中六个是RCE漏洞。Microsoft应用商店中提供了此应用的更新。

Visual Studio中的关键错误

Microsoft将Visual Studio中的五个RCE漏洞中的三个列为严重漏洞。从微软的信息来看，为什么其他两个问题应该较小，这一点还不清楚。

Exchange Server的进一步更新

微软已经在8月份的补丁日解决了一些Exchange漏洞，本月又增加了5个漏洞。其中三个漏洞是RCE漏洞。此外，还存在数据泄漏和欺骗漏洞(CVE-2023-36757)。后者可用于NTLM中继攻击。9月份的更新要求已经安装了8月份的补丁。

扩展安全更新(ESU)

参加微软付费ESU计划的公司和组织将在本月收到消除11个漏洞的更新。该计划旨在保护装有Server 2008/R2的系统。这一次，RCE漏洞不在其中。

这篇文章是从德语翻译成英语的，最初发表在pcWelt.de上。