服务公告
微软10月份月度安全漏洞预警
2018-10-10
一、概要
微软近日发布了10月份安全补丁更新，共披露了50个安全漏洞，其中12个漏洞标记为关键漏洞。攻击者可利用漏洞获取敏感信息，提升权限，欺骗，绕过安全功能限制，执行远程代码，或进行拒绝服务攻击等。受影响的应用包括：Internet Explorer、Microsoft Edge、Microsoft Windows、ChakraCore、Microsoft Office等多个组件。
微软官方说明：
二、重要漏洞说明详情
|
CVE编号 |
漏洞名称 |
严重程度 |
漏洞描述 |
|
CVE-2018-8460 CVE-2018-8491 |
Internet Explorer 内存损坏漏洞 |
严重 |
当 Internet Explorer 不正确地访问内存中的对象时，存在远程执行代码漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。 |
|
CVE-2018-8489 CVE-2018-8490 |
Windows Hyper-V 远程执行代码漏洞 |
严重 |
当主机服务器上的 Windows Hyper-V 无法正确验证来宾操作系统上经身份验证的用户的输入时，存在远程执行代码漏洞。若要利用此漏洞，攻击者可以在来宾操作系统上运行经特殊设计的可使 Hyper-V 主机操作系统执行任意代码的应用程序。 |
|
CVE-2018-8494 |
MS XML 远程执行代码漏洞 |
严重 |
当 Microsoft XML Core Services MSXML 分析器处理用户输入时，存在远程执行代码漏洞。成功利用此漏洞的攻击者可以远程运行恶意代码控制用户的系统。 |
|
CVE-2018-8500 |
脚本引擎内存损坏漏洞 |
严重 |
ChakraCore 脚本引擎处理内存中对象的方式中存在远程执行代码漏洞。该漏洞可能以一种攻击者可以在当前用户的上下文中执行任意代码的方式损坏内存。成功利用该漏洞的攻击者可以获得与当前用户相同的用户权限。 |
|
CVE-2018-8428 |
Microsoft SharePoint Server远程权限提升漏洞 |
严重 |
经过身份验证的攻击者可以通过向受影响的SharePoint服务器发送特制请求来利用此漏洞。成功利用此漏洞的攻击者可能会对受影响的系统执行跨站点脚本攻击，并在当前用户的安全上下文中运行脚本。 |
（注：以上为严重漏洞，其他漏洞及详情请参见微软官方说明）
三、漏洞级别
漏洞级别：【严重】
（说明：漏洞级别共四级：一般、重要、严重、紧急。）
四、影响范围
Microsoft Windows、Internet Explorer、Microsoft Edge、ChakraCore、Microsoft Office等产品
五、安全建议
1、可通过Windows Update自动更新微软补丁修复漏洞，也可以手动下载补丁，补丁下载地址：
https://portal.msrc.microsoft.com/en-us/security-guidance
2、为确保数据安全，建议重要业务数据进行异地备份。
注意：修复漏洞前请将资料备份，并进行充分测试。
