微軟于本周二發(fā)布了10月的“周二補(bǔ)丁”更新，修復(fù)了包括Windows系統(tǒng)和其它軟件中的71個(gè)漏洞，其中包括4個(gè)零日漏洞。

[[428996]]

這些零日漏洞中，除CVE-2021-40449外，另外3個(gè)在補(bǔ)丁發(fā)布之前就已為公眾所知。這4個(gè)零日漏洞分別是：

• CVE-2021-40449(CVSS 評分：7.8)- Win32k 提權(quán)漏洞
• CVE-2021-41335(CVSS 評分：7.8)——Windows 內(nèi)核特權(quán)提升漏洞
• CVE-2021-40469(CVSS 評分：7.2)——Windows DNS 服務(wù)器遠(yuǎn)程代碼執(zhí)行漏洞
• CVE-2021-41338(CVSS 評分：5.5)——Windows AppContainer 防火墻規(guī)則安全功能繞過漏洞。

排在首位的CVE-2021-40449，由卡巴斯基在2021年8月下旬至9月初發(fā)現(xiàn)，被廣泛用于針對IT公司、國防承包商和外交部門的間諜活動?？ò退够鶎⑦@類威脅稱為“神秘蝸牛”(MysterySnail)，其公司研究人員Boris Larin和Costin Raiu在一篇技術(shù)文章中表示，攻擊者利用該漏洞部署遠(yuǎn)程訪問木馬，該木馬能夠從受感染主機(jī)收集和泄露系統(tǒng)信息，然后再聯(lián)系其C2服務(wù)器以獲取進(jìn)一步指令。

其他值得注意的漏洞包括影響Microsoft Exchange Server(CVE-2021-26427)、Windows Hyper-V(CVE-2021-38672和CVE-2021-40461)、SharePoint服務(wù)器(CVE-2021-40487和CVE-2021-41344)和Microsoft Word(CVE-2021-40486)的遠(yuǎn)程代碼執(zhí)行漏洞，以及富文本編輯控制(CVE-2021-40454)的信息泄露漏洞。

CVE-2021-26427的CVSS評分高達(dá)9.0，網(wǎng)絡(luò)安全公司Qualys的漏洞和威脅研究高級經(jīng)理Bharat Jogi強(qiáng)調(diào)：Exchange服務(wù)器是黑客入侵商業(yè)網(wǎng)絡(luò)的高價(jià)值目標(biāo)。

另外，此次更新修復(fù)了Print Spooler 組件中發(fā)現(xiàn)的兩個(gè)缺陷(CVE-2021-41332和CVE-2021-36970)，每個(gè)缺陷都涉及信息泄露漏洞和欺騙漏洞，這些漏洞已被標(biāo)記為“更具有可利用性”。安全研究員ollypwn在Twitter上發(fā)帖指出：欺騙性漏洞攻擊者可以冒充或識別為另一個(gè)用戶，并通過濫用Spooler服務(wù)將任意文件上傳至其它服務(wù)器。

對于用戶而言，首先應(yīng)該修復(fù)哪些漏洞?英國網(wǎng)絡(luò)安全技能平臺Immersive Labs的網(wǎng)絡(luò)威脅研究主管Kevin Breen認(rèn)為：“我們總是建議首先修補(bǔ)任何被積極利用的漏洞。權(quán)限提升漏洞的得分總是低于遠(yuǎn)程代碼執(zhí)行，但攻擊者一旦獲得初始訪問權(quán)限就會更常使用，所以不要讓原始CVSS得分高低成為漏洞修補(bǔ)的順序考量。”

參考來源：

• https://thehackernews.com/2021/10/update-your-windows-pcs-immediately-to.html
• https://www.helpnetsecurity.com/2021/10/12/patch-tuesday-cve-2021-40449/