微软11月补丁星期二需要关注的漏洞

发布于2023年11月16日2025年7月19日作者:cve-20

微软11月补丁星期二需要关注的漏洞

Dustin Childs 代码卫士 2023-11-15 17:43

聚焦源代码安全，网罗国内外最新资讯！****

编译：代码卫士

11月，微软共修复了63个漏洞，其中3个为“严重”、56个为“重要”、4个为“中危”级别。在这些漏洞中，3个被指已遭活跃利用，3个被指“公开已知”。

已遭利用的漏洞

CVE-2023-36033是位于 Windows DWM Core 库中的提权漏洞，可导致通过 Windows 桌面管理器 (DWM) 进行提权，该漏洞被指“已遭活跃利用”。微软并未说明攻击的影响范围，但这类利用通常会在大规模爆发前在小范围内广泛传播。攻击者可利用该漏洞获得系统权限，也这是此类漏洞为何通常会组合利用代码执行漏洞攻陷系统的原因所在。

CVE-2023-36036是位于 Windows Cloud Files Mini Filter 驱动中的提权漏洞。它是又一个已遭利用的提权漏洞，如遭利用可导致攻击者获得系统权限。该驱动用于管理和方便云存储文件的运营。它默认仅在 Windows 的每个版本中加载，因此会提供广阔的攻击面。该漏洞同样也和代码执行漏洞组合用于攻击中。用户应快速测试并部署该更新。

CVE-2023-36025是 Windows SmartScreen 安全特性绕过漏洞。该漏洞也已遭活跃利用，不过是绕过而非提权漏洞。攻击者可利用该漏洞绕过 Windows Defender SmartScreen 检查和其他提示。这意味着该漏洞可能会与另外一个正常情况下会被 SmartScreen 阻止的利用组合使用。作者认为该漏洞已被用于钓鱼攻击，目的是躲避用户提示，从而消除打开恶意文档的提示或警告。

CVSS评分最高的漏洞

CVE-2023-36397是位于 Windows PGM 中的远程代码执行漏洞。该漏洞的CVSS评分为9.8，可导致远程未认证攻击者以提升后的权限在无需用户交互的情况下执行代码。好在该漏洞仅适用于在 PGM Server 环境中的 Windows 消息队列服务的系统。实际这种情况应该不会太多，但相关用户应迅速测试并部署该更新。

其它两个“严重”级别的漏洞

这两个“严重”级别的漏洞分别是位于 Azure 命令行接口 (CLI) 中的信息披露漏洞（CVE-2023-36052）和位于 Windows HMAC 中的一个提权漏洞（CVE-2023-36400）。信息泄露漏洞极少会被评级为“严重”，但由于该漏洞可泄露日志文件中的明文密码和用户名，因此这样的评级也合乎情理。Windows HMAC 中的提权漏洞可导致 Hyper-V 上的 guest 在底层主机OS上执行代码，不过好在只是本地攻击。然而，如果 guest 可接管主机，则可在该服务器上的其它 guest 操作系统上为所欲为。

代码卫士试用地址：
https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

十月补丁星期二值得关注的漏洞

CISA “已知已利用漏洞”分类计划加快打补丁速度

补丁星期二：微软、Adobe和Firefox纷纷修复已遭利用的 0day 漏洞

Notepad++ 8.5.6 发布补丁，修复四个漏洞

微软2023年8月补丁日多个产品安全漏洞风险通告

原文链接

https://www.zerodayinitiative.com/blog/2023/11/14/the-november-2023-security-update-review

题图：
Pixabay
License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。