关于微软多个安全漏洞的通告

近日，微软官方发布了多个安全漏洞的公告，涵盖了Microsoft Windows，Edge，ChakraCore，Internet Explorer（IE），Office and Office Services和其他软件。成功利用上述漏洞的攻击者可以在目标系统上执行任意代码、获取用户数据，提升权限等。微软多个产品和系统受漏洞影响。在这111个漏洞中，严重漏洞有16个，高危漏洞有95。




漏洞介绍

1、Microsoft SharePoint安全漏洞（CNNVD-202005-567、CVE-2020-1024）（CNNVD-202005-565、CVE-2020-1069）（CNNVD-202005-566、CVE-2020-1023）（CNNVD-202005-561、CVE-2020-1102）

漏洞简介

当软件无法检查应用程序包的源标记时，MicrosoftSharePoint会触发远程代码执行漏洞。成功利用此漏洞的攻击者可以在 SharePoint 应用程序池和 SharePoint 服务器场帐户的上下文中运行任意代码。攻击者必须诱使用户将经过特殊设计的 SharePoint 应用程序包上传到受影响版本的 SharePoint，才能利用此漏洞。

2、MicrosoftWindows Graphics Components 安全漏洞（CNNVD-202005-613、CVE-2020-1153）

漏洞简介

Microsoft 图形组件在内存中处理对象的方式中存在远程代码执行漏洞。成功利用该漏洞的攻击者可以对目标系统执行任意代码。若要利用该漏洞，攻击者需要诱使用户打开一个特制的文件。

3、MicrosoftWindows和Windows Server 安全漏洞（CNNVD-202005-585、CVE-2020-1166）、（CNNVD-202005-583、CVE-2020-1165）

漏洞简介

当 Windows 不正确地处理对剪贴板服务的调用时，存在特权提升漏洞。成功利用此漏洞的攻击者可以在本地系统的安全上下文中运行任意代码。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

4、Microsoft Edge PDF Reader 安全漏洞（CNNVD-202005-540、CVE-2020-1096）（CNNVD-202004-694、CVE-2020-0906）

漏洞简介

当 Microsoft Edge PDF 阅读器不正确地处理内存中的对象时，存在远程代码执行漏洞。该漏洞可能以一种使攻击者可以在当前用户的环境中执行任意代码的方式损坏内存。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理员用户权限登录，那么攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

5、Microsoft Excel 资源管理错误漏洞（CNNVD-202005-555、CVE-2020-0901）

漏洞简介

当 Microsoft Excel软件无法正确处理内存中的对象时，会触发远程代码执行漏洞。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理员用户权限登录，攻击者就可以控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。与拥有管理员权限的用户相比，帐户被配置为拥有较少权限的用户受到的影响更小。

6、Microsoft Internet Explorer 安全漏洞（CNNVD-202005-549、CVE-2020-1062）

漏洞简介

当IE 不正确地访问内存中的对象时，会触发远程代码执行漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理员用户权限登录，那么攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

7、Microsoft Windows Jet Database Engine 安全漏洞（CNNVD-202005-582、CVE-2020-1174）（CNNVD-202005-581、CVE-2020-1175）（CNNVD-202005-580、CVE-2020-1176）

漏洞简介

当 Windows Jet 数据库引擎不正确地处理内存中的对象时，会触发远程代码执行漏洞。成功利用此漏洞的攻击者可以在受害者系统上执行任意代码。

8、Microsoft Internet Explorer VBScript Engine 安全漏洞（CNNVD-202005-553、CVE-2020-1035）（CNNVD-202005-550、CVE-2020-1060）（CNNVD-202005-545、CVE-2020-1093）（CNNVD-202005-569、CVE-2020-1058）

漏洞简介

VBScript 引擎处理内存中对象的方式中存在远程代码执行漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理员用户权限登录，攻击者便可控制受影响的系统。攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。

修复建议

目前微软官方已经发布
补丁修复了上述漏洞
建议用户及时确认漏洞影响
尽快采取修补措施