國家漏洞庫CNNVD：關於微軟多個安全漏洞的通報
近日，微軟官方釋出了多個安全漏洞的公告，包括MS XML 遠端執行程式碼漏洞（CNNVD-201810-294、CVE-2018-8494）、Windows Hyper-V 遠端執行程式碼漏洞（CNNVD-201810-327、CVE-2018-8490）等多個漏洞。成功利用上述安全漏洞的攻擊者，可以在目標系統上執行任意程式碼。微軟多個產品和系統受漏洞影響。目前，微軟官方已經發布補丁修復了上述漏洞，建議使用者及時確認是否受到漏洞影響，儘快採取修補措施。
一、漏洞介紹
本次漏洞公告涉及Microsoft Edge、Internet Explorer、Microsoft指令碼引擎、Windows Hyper-V、Chakra 指令碼引擎等Windows平臺下應用軟體和元件。漏洞詳情如下：
1、 Internet Explorer 記憶體損壞漏洞（CNNVD-201810-297、CVE-2018-8491）、（CNNVD-201810-300、CVE-2018-8460）
漏洞簡介：Internet Explorer部分版本存在遠端程式碼執行漏洞，當Internet Explorer不正確地訪問記憶體中的物件時，可觸發該漏洞。成功利用該漏洞的攻擊者可以獲得與當前使用者相同的使用者許可權。
2、 Microsoft Edge 記憶體損壞漏洞（CNNVD-201810-292、CVE-2018-8473）、（CNNVD-201810-302、CVE-2018-8509）
漏洞簡介：當 Microsoft Edge 不正確地訪問記憶體中的物件時會觸發該漏洞。成功利用該漏洞的攻擊者可以獲得與當前使用者相同的使用者許可權。
3、 Microsoft Edge 記憶體損壞漏洞（CNNVD-201810-327、CVE-2018-8490）、（CNNVD-201810-328、CVE-2018-8489）
漏洞簡介：當主機伺服器上的 Windows Hyper-V 無法正確驗證使用者作業系統上經身份驗證的使用者的輸入時，存在遠端程式碼執行會觸發該漏洞。成功利用此漏洞的攻擊者可以執行任意程式碼。
4、 Chakra 指令碼引擎記憶體損壞漏洞（CNNVD-201810-303、CVE-2018-8500）、（CNNVD-201810-307、CVE-2018-8505）、（CNNVD-201810-309、CVE-2018-8511）、（CNNVD-201810-310、CVE-2018-8510）、（CNNVD-201810-334、CVE-2018-8513）
漏洞簡介：Chakra 指令碼引擎在 Microsoft Edge 中處理記憶體中的物件的方式中時存在遠端程式碼執行可能觸發漏洞。成功利用該漏洞的攻擊者可以獲得與當前使用者相同的使用者許可權。如果當前使用者使用管理使用者許可權登入，攻擊者便可以控制受影響的系統。攻擊者可任意安裝程式、檢視、更改或刪除資料、或者建立新帳戶。
5、 MS XML 遠端執行程式碼漏洞（CNNVD-201810-294、CVE-2018-8494）
漏洞簡介：當 Microsoft XML Core Services MSXML 分析器處理使用者輸入時，存在程式碼遠端執可能觸發該行漏洞。成功利用此漏洞的攻擊者可以遠端執行惡意程式碼控制使用者的系統。
二、修復建議
目前，微軟官方已經發布補丁修復了上述漏洞，建議使用者及時確認漏洞影響，儘快採取修補措施。微軟官方連結地址如下：
序號 |
漏洞名稱 |
官方連結 |
|
1 |
Internet Explorer 記憶體損壞漏洞（CNNVD-201810-297、CVE-2018-8491） （CNNVD-201810-300、CVE-2018-8460） |
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8491 https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8460 |
|
2 |
Microsoft Edge 記憶體損壞漏洞 （CNNVD-201810-292、CVE-2018-8473） （CNNVD-201810-302、CVE-2018-8509） |
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8473 https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8509 |
|
3 |
Windows Hyper-V 遠端執行程式碼漏洞 （CNNVD-201810-327、CVE-2018-8490） （CNNVD-201810-328、CVE-2018-8489） |
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8490 https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8489 |
|
4 |
Chakra 指令碼引擎記憶體損壞漏洞 （CNNVD-201810-303、CVE-2018-8500） （CNNVD-201810-307、CVE-2018-8505） （CNNVD-201810-309、CVE-2018-8511） （CNNVD-201810-310、CVE-2018-8510） （CNNVD-201810-334、CVE-2018-8513） |
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8500 https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8505 https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8511 https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8510 https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8513 |
|
5 |
MS XML 遠端執行程式碼漏洞 （CNNVD-201810-294、CVE-2018-8494） |
https://portal.msrc.microsoft.com/zh-cn/security-guidance/advisory/CVE-2018-8494 |
更多漏洞資訊，可參考：
https://support.microsoft.com/en-us/help/20181009/security-update-deployment-information-october-9-2018
CNNVD將繼續跟蹤上述漏洞的相關情況，及時釋出相關資訊。如有需要，可與CNNVD聯絡。
聯絡方式: cnnvd@itsec.gov.cn
宣告：本文來自安全內參，版權歸作者所有。文章內容僅代表作者獨立觀點，不代表安全內參立場，轉載目的在於傳遞更多資訊。如需轉載，請聯絡原作者獲取授權。