微软2023年10月补丁周二修复了3个零日漏洞，104个漏洞

今天是微软2023年10月的补丁星期二，对104个漏洞进行了安全更新，其中包括三个被积极利用的零日漏洞。

虽然修复了45个远程代码执行(RCE)漏洞，但微软只将12个漏洞评为“关键”，所有这些漏洞都是RCE漏洞。

每个漏洞类别的漏洞数量如下:

• 26特权提升漏洞
• 3安全特性绕过漏洞
• 45远程代码执行漏洞
• 12信息泄露漏洞
• 17拒绝服务漏洞
• 1欺骗漏洞

总共104个漏洞不包括一个追踪为CVE-2023-5346的Chromium漏洞，该漏洞已于10月3日由谷歌修复并移植到Microsoft Edge。

要了解有关今天发布的非安全更新的更多信息，您可以查看我们关于新版本的专门文章
Windows 11 KB5031354累积更新
以及
Windows 10 KB5031356累积更新
．

其中三家积极利用了零日漏洞

本月的补丁星期二修复了三个零日漏洞，所有这些漏洞都在攻击中被利用，其中两个被公开披露。

如果一个漏洞被公开披露或被积极利用，而没有官方修复，微软将其归类为零日漏洞。

在今天的更新中，三个被积极利用的零日漏洞是:

cve - 2023 - 41763
,- Skype for Business特权提升漏洞

微软已经修复了一个被积极利用的Skype for Business漏洞，该漏洞被归类为特权提升漏洞。

成功利用此漏洞的攻击者可以查看一些敏感信息(机密性)，但并非受影响组件中的所有资源都可能泄露给攻击者。微软解释道。

“攻击者不能更改公开的信息(完整性)或限制对资源的访问(可用性)。”

该缺陷是由弗洛里安·豪泽博士(
@frycos
)，他告诉BleepingComputer，这是
与他在2022年9月披露的缺陷相同
但微软当时拒绝修复这个问题。

“你可以利用这个漏洞进入内部网络系统。它基本上允许你突破互联网边界，因为Skype通常暴露在公共互联网上，”豪泽告诉BleepingComputer。

cve - 2023 - 36563
-微软写字板信息泄露漏洞

微软修复了一个被积极利用的漏洞，该漏洞可以在写字板中打开文档时窃取NTLM哈希值。

“要利用这个漏洞，攻击者首先必须登录到系统。然后，攻击者可以运行一个专门设计的应用程序，利用该漏洞并控制受影响的系统。”

此外，攻击者还可以说服本地用户打开恶意文件。攻击者必须说服用户点击一个链接，通常是通过电子邮件或即时消息中的诱惑，然后说服他们打开特制的文件。”

这些NTLM哈希值可以被破解或用于NTLM Relay攻击，以获得对帐户的访问权限。

这个漏洞是由微软威胁情报小组在内部发现的，似乎是由
cve - 2023 - 36761
上个月修好的。

CVE-2023-44487 - HTTP/2快速重置攻击

微软发布了一种新的零日DDoS攻击技术的缓解措施。
HTTP/2快速重置
自8月份以来，这一现象一直被积极利用，打破了此前的所有记录。

这种攻击滥用HTTP/2的流取消特性来不断地发送和取消请求，使目标服务器/应用程序不堪重负，并强制进入DoS状态。

由于该特性是内置于HTTP/2标准中的，因此除了限制速率或阻塞协议之外，没有其他“修复”技术可以实现。

微软建议中的缓解措施是在web服务器上禁用HTTP/2协议。然而，他们也提供了一个
专门的文章
HTTP/2快速重置，与进一步的信息。

今天，Cloudflare、亚马逊和谷歌联合披露了这一漏洞。

微软表示，CVE-2023-41763和CVE-2023-36563已被公开披露。

其他公司的最新消息

其他在2023年10月发布更新或建议的供应商包括:

• 苹果
   固定两个零日
  随着iOS 17.0.3的发布。
• 手臂
  披露了新的Mali GPU缺陷
  利用攻击。
• Cisco 
  发布的安全更新
  用于各种产品，包括
  在紧急响应器中硬编码的根凭据
  ．
• Citrix
  发布了Citrix NetScaler ADC和网关缺陷的修复程序
  这暴露了“敏感”信息。
• 发布的技术细节
  友讯科技
  DAP-X1860 WiFi 6范围扩展零日
  ．
• 进出口
  修补了六个暴露的零日漏洞中的三个
  ．
• Google 
  发布,
  Android 2023年10月安全更新
  修复主动利用的漏洞。
• GNOME
  , is 
  受到RCE缺陷的影响
  这可以通过下载提示文件来触发。
• 新的“
  HTTP/2快速重置
  “零日攻击”打破了DDoS攻击记录。
• Linux
  发行版受到了新的“
  鲁尼的可调参数
  在受影响的系统上提供root的bug。
• 马文攻击
  恢复RSA中存在25年的解密漏洞。
• 微软
  发布紧急更新
  让Edge和Teams修复两个零日漏洞。
• SAP
  [nbsp;]
  2023年10月补丁日
  更新。
• 新
  ShellTorch缺陷
  影响开源的TorchServe人工智能模型服务工具。

2023年10月星期二补丁安全更新

以下是2023年10月补丁星期二更新中已解决漏洞的完整列表。

要访问每个漏洞及其影响的系统的完整描述，您可以查看
完整报告在此
．