234钱包

12月10日，234钱包安全应急响应中心监测到微软官方颁布12月安全更新。。。本次更新颁布了58个缝隙的安全补丁，涵盖Windows操作系统、IE/Edge浏览器、ChakraCore、Office办公套件、Exchange Server、Azure、Visual Studio等多个组件。。；拱洳剂艘桓鯠NS糊弄缝隙缓解指南。。。

本次更新涉及多个垂危缝隙和易利用缝隙，建议宽大用户实时将Windows各项组件更新到最新版本，做好资产自查与防护预防遭逢损失。。。

缝隙描述

CVE-2020-17144：Microsoft Exchange远程代码执行缝隙

该缝隙评级为重要，Microsoft Exchange在处置内存中的对象时，存在一个远程代码执行缝隙。。。当攻击者身份认证通过后，可向服务器的某个API发送一个伪造的要求, 将含有恶意反序列化的内容注入到服务器的反序列化流中, 从而可能在服务器执行肆意号令, 甚至直接管受服务器。。。该缝隙仅影响Exchange 2010的版本，但是利用难度和所需权限都比力低，执行攻击越发容易。。。同时，存在缝隙的职能点自身具备悠久化职能，利用成功后将直接进行悠久化行为，在不修复缝隙的情况下将始终存在，影响较大。。。

影响版本：

Microsoft Exchange Server 2010 Service Pack 3

CVE-2020-17121：Microsoft SharePoint 远程执行代码缝隙

该缝隙评级为垂危，Microsoft SharePoint存在一个远程代码执行缝隙，这个缝隙允许经过身份验证的用户在SharePoint Web利用法式服务器上执行肆意 .NET 代码，在其默认配置中，经过身份验证的 SharePoint 用户能够创建提供启动攻击所必须的所有权限的网站。。。

影响版本：

SharePoint 2010、SharePoint 2013、SharePoint Ent 2016、SharePoint 2019

CVE-2020-17096：Windows NTFS 远程代码执行缝隙

该缝隙评级为重要。。。Windows NTFS存在一个远程执行代码缝隙，本地攻击者能够运行特制的利用法式，从而提高攻击者的特权。。。拥有SMBv2接见权限的远程攻击者能够通过网络发送经特殊设计的要求，以利用此缝隙在指标系统上执行代码。。。

影响版本：

Windows 10、Server 2016、Server 2019、Server, version 1903、Server, version 1909、Server, version 2004、Server, version 20H2、Windows 8.1、Server 2012、Server 2012 R2

CVE-2020-17095：Hyper-V 远程代码执行缝隙

该缝隙评级为垂危。。。Hyper-V存在一个远程代码执行缝隙，这个缝隙可能允许攻击者从Hyper-V guest OS权限提升到Hyper-V host权限，在guest OS中利用不必要特殊的权限配置。。。

影响版本：

Windows 10、Server 2016、Server 2019、Server, version 1903、Server, version 1909、Server, version 2004、Server, version 20H2

ADV200013： DNS 糊弄缝隙缓解指南

评级为重要。。。Windows DNS Server在转发模式下工作时会受该缝隙影响，递归模式下工作时不受影响。。。DNS响应包过大时会受到UDP和谈的个性影响，出现分片景象，Windows DNS Server 在遇到此景象时由于没有有关限度或校验，导致旁路攻击者能够通过伪造分片来伪造DNS响应，从而传染Windows DNS Server 的DNS缓存，进而劫持肆意域名。。。

修复建议

Windows自动更新（推荐）

Windows系统默认启用Microsoft Update，当检测到可用更新时，将会自动下载更新并鄙人一次启动时装置。。。

手动更新

微软官网已颁布安全补丁修复以上缝隙，用户也可自行装置切合操作系统版本的缝隙补丁。。。

下载地址：https://msrc.microsoft.com/update-guide/releaseNote/2020-Dec

附本次更新的部门缝隙列表供参考

参考链接：

[1]https://msrc.microsoft.com/update-guide/releaseNote/2020-Dec

[2]https://www.secrss.com/articles/27709

[3]https://msrc.microsoft.com/update-guide/en-US/vulnerability/ADV200013

[4]https://www.zerodayinitiative.com/blog/2020/12/8/the-december-2020-security-update-review

北京234钱包网络技术有限公司

2020年12月10日