113补丁(1112补丁)

4月份，Microsoft发布了113个的漏洞补丁，涉及产品涵盖Microsoft Windows、Microsoft Edge（基于EdgeHTML和Chromium）、ChakraCore、Internet Explorer、Office和Office Services和Web Apps、Windows Defender、Visual Studio、Microsoft Dynamics、Microsoft Apps for Android和Mac的Microsoft Apps。

在CVE中这113个漏洞，17个超危，96高危。与2019年同期相比，微软在2020年1月至4月间修补的CVE数量增加了44％。寻找漏洞的研究人员数量增加以及受支持产品组合的增加都有可能导致这一增长。

一起了解几个本期典型的漏洞：

- CVE-2020-1020- Adobe字体管理器库远程代码执行漏洞

针对Windows 7系统。如果攻击者可以诱使用户查看特制字体，攻击者可以使用此漏洞在受影响的系统上执行代码。该代码将在已登录用户的级别运行。尽管这些攻击专门针对Windows 7系统，但是自从操作系统在今年1月退出支持以来，并不是所有Win7系统都会收到补丁。只有拥有ESU许可证的 Windows 7和Server 2008客户才能收到补丁。

- CVE-2020-0938 - OpenType字体解析远程代码执行漏洞

此错误与以前的漏洞有关，但它会影响不同的字体渲染器。可以被利用为主动攻击。同样，如果用户查看了特制字体，则攻击者可以在目标系统上执行其代码。我们还应注意，Windows 10系统受这些错误的影响较小，因为代码执行将在AppContainer沙箱中进行。Win7用户还需要此修补程序的ESU许可证。

- CVE-2020-0993 -服务漏洞

修补程序解决在Windows DNS服务进行拒绝服务（DoS）漏洞。请注意，这是DNS服务而不是DNS Server，因此客户端系统也受此漏洞影响。攻击者可以通过向受影响的系统发送一些特制的DNS查询，从而导致DNS服务无响应。由于不涉及代码执行，因此被评为“中危”。但是，考虑到未经身份验证的攻击者可能造成的损害，这在测试和部署列表中应该很高。

- CVE-2020-0981 - Windows令牌安全功能绕过漏洞

安全功能绕过直接导致沙箱逃逸。该漏洞是由Windows错误地处理令牌关系导致的。攻击者可能会滥用此权限，以允许具有特定完整性级别的应用程序以不同的（可能是更高的）完整性级别执行代码。结果是沙箱转义。这只会影响Windows 10 1903及更高版本，因此该代码是相对较新的功能。

共有39个补丁用于某种形式的特权提升（EoP）。其中，特权提升漏洞（CVE-2020-0935），存在于Windows版OneDrive中。

在此，我们强烈建议Windows用户和系统管理员尽快应用最新的安全补丁，以防止网络犯罪分子和黑客控制计算机。

本文标签：