微軟修複大量高危漏洞，用戶需盡快升級打補丁

微軟的補丁星期二更新包括95個修複方案，解決了在Windows、Office、Skype、IE和Edge瀏覽器中的各種漏洞問題。27個補丁修複的是遠程代碼執行問題；18個補丁被微軟評級為“嚴重”，76個為“重要”，1個為“中危”。

兩個已遭利用的漏洞

最引人關注的是兩個已遭利用的漏洞，即Windows搜索遠程代碼執行漏洞 (CVE-2017-8543) 和一個LNK遠程代碼執行漏洞 (CVE-2017-8464)。

其中Windows搜索遠程代碼執行漏洞的危害程度更為嚴重，它存在於能讓用戶跨Windows服務和客戶端進行搜索的Windows搜索服務 (WSS)中。公告指出，“在企業場景下，遠程未經驗證的攻擊者能通過SMB連接遠程觸發這個漏洞，隨之控製目標計算機”。受影響的產品包括Windows Server 2016、2012、2008以及桌麵係統如Windows 10、7和8.1。

第二個漏洞即LNK遠程代碼執行漏洞會導致遠程代碼執行，如果一個特別編製的快捷方式展示給用戶的話。ZDI對補丁星期二評論稱，“如果你似曾閱讀過這個bug內容，就會很清楚這個問題。這種漏洞曾被震網病毒所利用，幾年之後曾通過一個ZDI計劃提交。”

微軟在同一天通過發布額外補丁的方式增補了這些嚴重漏洞的補丁。這些額外補丁解決了不受支持的Windows版本如Windows XP和Windows Server 2003中的問題，旨在阻止上個月爆發的“想哭”勒索軟件感染。幾周前微軟也曾為Windows XP發布了緊急補丁。微軟下載中心發布了這些更新，但不會通過Windows Update自動更新。

Windows圖形RCE漏洞

來自Qualys公司的研究專家指出，對於係統管理員而言另外一個優先級較高的漏洞是Windows圖形RCE漏洞 (CVE-2017-8527)。當用戶查看帶有特殊編製字體的惡意網站時，該漏洞就會被觸發。微軟指出，“當Windows字體庫處理特別編製的嵌入式字體方式不當時，就會觸發一個遠程代碼執行漏洞。成功利用該漏洞的攻擊者能控製受感染係統。”

“總體來講，從修複的漏洞數量上來看，這次安全更新幾乎比前兩個月翻了一番。已被利用的SMB問題CVE-2017-8543和其它字體、Outlook、Office、Edge和IE問題肯定夠係統管理員和安全團隊忙活一陣子。”Qualys公司的工程主管Amol Sarwate表示。

內存損壞漏洞

Sarwate建議使用Outlook的組織機構優先應用一個微軟Office內存損壞漏洞 (CVE-2017-8507) 的補丁。攻擊者能通過將惡意電子郵件發送給目標，並且當收件人查看了Outlook信息後完全控製計算機的方式利用這個漏洞。

IE和Edge瀏覽器RCE漏洞

最後，微軟修複了Edge和IE瀏覽器中的多個遠程代碼執行漏洞 (CVE-2017-8498、CVE-2017-8530和CVE-2017-8523)。這兩個漏洞尤其重要，因為雖然Qualys公司尚未發現利用痕跡，但已被公開。

早些時候，Adobe為四款產品即Flash、Shockwave播放器、Captivate和Adobe Digital Editions發布了21個漏洞修複方案。