漏洞資訊 Vulnerability Information
微軟 5 月 Patch Tueday 修補 4 重大安全漏洞
2021-05-14
Patch Tuesday 是一個在行業內被廣泛使用的非正式術語，指微軟定期發佈其軟件更新的修補，一般在每個月第二週或第四週的星期二。
而本月所發佈的 Patch Tuesday 修補了 55 個安全漏洞，其中有 4 個為重大 (Critical) 漏洞，另 3 個則為零時差漏洞，其中一個還出現了相應的攻擊程式。
4 個重大漏洞為：
CVE-2021-31166
HTTP 協定堆疊遠端程式攻擊漏洞，駭客只要傳送一個特製的封包到受影響的伺服器就能開採該漏洞，不必經過授權就能自遠端執行惡意程式，由於 Windows 10 也能配置成一網頁伺服器，因此同樣受到影響。
CVE-2021-28476
Hyper-V 的遠端程式漏洞，CVSS 風險指數高達 9.9，是此次所修補的最嚴重的漏洞，但要開採此漏洞來執行任意程式並不容易，微軟認為駭客更容易利用它來執行服務阻斷攻擊。
CVE-2021-31194
OLE自動化遠程執行代碼漏洞，可誘導使用者造訪惡意網站，以開採相關漏洞並執行遠端程式攻擊。
CVE-2021-26419
腳本引擎內存損壞漏洞，可誘導使用者造訪惡意網站，以開採相關漏洞並執行遠端程式攻擊。
3 個零時差漏洞為：
CVE-2021-31204
.NET 與 Visual Studio 的權限擴張漏洞
CVE-2021-31207
Exchange Server 安全功能的繞過漏洞
CVE-2021-31200
存在於 Common Utilities 的遠端程式執行漏洞，已出現攻擊程式。