在 9 月的補(bǔ)丁星期二活動日中，微軟共計修復(fù)了 66 處系統(tǒng)漏洞和 20 處 Microsoft Edge 中的 Chromium 安全漏洞。受影響的產(chǎn)品包括。Azure、Edge(Android、Chromium 和 iOS)、Office、SharePoint Server、Windows、Windows DNS 和 Windows Subsystem for Linux。

[[424080]]

在修復(fù)的這些漏洞中，其中 3 個被評為“critical”(關(guān)鍵)、1 個被評為“moderate”(中等)，其余的被評為“important”(重要)。

其中一個已經(jīng)公開披露的 CVE 解決了 MSHTML 中的一個關(guān)鍵零日漏洞(CVE-2021-40444)，也被稱為微軟的傳統(tǒng) Trident 渲染引擎。該漏洞可被濫用，以實(shí)現(xiàn)任意代碼的執(zhí)行，在承載瀏覽器渲染引擎的微軟Office文檔中使用惡意的 ActiveX 控件。這是我們在 9 月 7 日了解到的漏洞，并被用于針對 Office 用戶的攻擊。利用該漏洞的代碼已經(jīng)在網(wǎng)絡(luò)上和安全研究人員之間流傳，所以要打好補(bǔ)丁。

另一項(xiàng)修復(fù)更新了 8 月 11 日公開披露的補(bǔ)丁，該補(bǔ)丁解決了上個月的 Print Spooler RCE(CVE-2021-36958)。IT資產(chǎn)管理公司 Ivanti 的產(chǎn)品管理副總裁 Chris Goettl 在發(fā)給 The Register 的一份聲明中解釋說：“這次更新已經(jīng)刪除了以前定義的緩解措施，因?yàn)樗辉龠m用，并解決了研究人員在原始修復(fù)之外發(fā)現(xiàn)的其他問題。該漏洞已被公開披露，而且可以獲得功能性的利用代碼，因此這使本月的Windows操作系統(tǒng)更新變得更加緊迫”。

Goettl 說之前披露的第三個漏洞(CVE-2021-36968)解決了 Windows DNS 中的一個權(quán)限提升漏洞。這個 CVE 適用于傳統(tǒng)的 Windows 操作系統(tǒng)。

還有另外兩個關(guān)鍵漏洞修復(fù)：一個是 Windows WLAN 自動配置服務(wù)遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-36965)和一個開放管理基礎(chǔ)設(shè)施遠(yuǎn)程代碼執(zhí)行漏洞(CVE-2021-38647)。Zero-Day Initiative 的 Dustin Childs 在一份公告中說，前者允許鄰近網(wǎng)絡(luò)的攻擊者，如咖啡店的公共 Wi-Fi，接管一個有漏洞的目標(biāo)系統(tǒng)。

后者甚至更嚴(yán)重。這是一個嚴(yán)重性(CVSS 9.8)的錯誤，在Linux和Unix風(fēng)味的操作系統(tǒng)的開放管理基礎(chǔ)設(shè)施(OMI)。它可以被利用來獲得對網(wǎng)絡(luò)上有漏洞的機(jī)器的管理控制，不需要認(rèn)證或其他檢查。

Childs警告說：“這個漏洞不需要用戶互動或權(quán)限，所以攻擊者只需向受影響的系統(tǒng)發(fā)送一個特制的信息，就可以在受影響的系統(tǒng)上運(yùn)行他們的代碼。OMI用戶應(yīng)該迅速測試和部署這個”。