2023-11月 补丁日: 微软多个漏洞安全更新通告

一、漏洞概述

11月15日，微软发布11月安全更新补丁，修复了63个安全问题，涉及Windows SmartScreen、Microsoft Office、http://ASP.NET、Windows Cloud Files Mini Filter Driver、Windows DWM Core Library等广泛使用的产品，其中包括权限提升、远程代码执行等高危漏洞类型。

本月微软月度更新修复的漏洞中，严重程度为关键（Critical）的漏洞有3个，重要（Important）漏洞有55个。其中包括5个0day漏洞：

Windows Cloud Files微型筛选器驱动程序权限提升漏洞（CVE-2023-36036）

Windows DWM核心库权限提升漏洞（CVE-2023-36033）

Windows SmartScreen安全功能绕过漏洞（CVE-2023-36025）

Microsoft Office安全功能绕过漏洞（CVE-2023-36413）

http://ASP.NET Core拒绝服务漏洞（CVE-2023-36038）

请相关用户尽快更新补丁进行防护，完整漏洞列表请参考附录。

参考链接：

https://msrc.microsoft.com/update-guide/releaseNote/2023-Nov

二、重点漏洞简述

根据产品流行度和漏洞重要性筛选出此次更新中包含影响较大的漏洞，请相关用户重点进行关注：

Windows Cloud Files微型筛选器驱动程序权限提升漏洞（CVE-2023-36036）：

Windows Cloud Files微型筛选器驱动程序中存在权限提升漏洞，具有低权限的本地攻击者成功利用该漏洞后可获得SYSTEM权限，且无需用户交互。该漏存在在野利用，CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36036

Windows DWM核心库权限提升漏洞（CVE-2023-36033）：

Windows DWM核心库中存在权限提升漏洞，具有低权限的本地攻击者成功利用该漏洞后可在目标系统上将权限提升至SYSTEM权限，且无需用户交互。该漏洞已公开披露，且存在在野利用，CVSS评分7.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-3603

Windows SmartScreen安全功能绕过漏洞（CVE-2023-36025）：

Windows SmartScreen中存在安全功能绕过漏洞，未经身份验证的远程攻击者通过诱导用户单击特制的URL来利用该漏洞，对目标系统进行攻击。成功利用该漏洞的攻击者能够绕过Windows Defender SmartScreen检查及其相关提示。该漏洞存在在野利用，CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36025

Microsoft Office安全功能绕过漏洞（CVE-2023-36413）：

Microsoft Office中存在安全功能绕过漏洞，未经身份验证的远程攻击者通过向受害用户发送恶意文件并诱导用户打开文件来利用该漏洞。成功利用该漏洞的攻击者可绕过Office受保护的视图，并在编辑模式中打开文件。该漏洞已公开披露，CVSS评分6.5。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36413

http://ASP.NET Core拒绝服务漏洞（CVE-2023-36038）：

http://ASP.NET Core存在拒绝服务漏洞，未经身份验证的远程攻击者如果取消对运行在IIS InProcess托管模型上的.NET 8 RC 1的http请求，就可能成功利用该漏洞。线程数会增加，可能会出现内存溢出异常。成功利用该漏洞进行攻击后会导致可用性完全丧失。该漏洞已公开披露，CVSS评分8.2。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36038

Windows Pragmatic General Multicast(PGM)远程代码执行漏洞（CVE-2023-36397）：

Windows Pragmatic General Multicast(PGM)中存在远程代码执行漏洞，当Windows 消息队列服务在PGM Server环境中运行时，未经身份验证的远程攻击者可以通过网络发送特制文件以实现远程代码执行，并试图触发恶意代码。CVSS评分9.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36397

Azure CLI REST命令信息泄露漏洞（CVE-2023-36052）：

Azure CLI REST命令中存在信息泄露漏洞，用户可以通过Azure CLI命令行界面执行创建和管理虚拟机、存储账户/密码、网络资源、应用服务等各种操作。未经身份验证的远程攻击者可利用此漏洞从由Azure DevOps或GitHub Actions发布的日志文件中恢复明文密码和用户名。CVSS评分8.6。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36052

https://msrc.microsoft.com/blog/2023/11/microsoft-guidance-regarding-credentials-leaked-to-github-actions-logs-through-azure-cli/

Windows HMAC密钥派生权限提升漏洞（CVE-2023-36400）：

由于Windows HMAC密钥中缺乏安全限制，具有低权限的Hyper-V的攻击者可越过安全边界，在Hyper-V主机执行环境上执行代码，从而获得目标系统的SYSTEM 权限。CVSS评分8.8。

官方通告链接：

https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2023-36400

三、影响范围

以下为部分重点关注漏洞的受影响产品版本，其他漏洞影响产品范围请参阅官方通告链接。

四、漏洞防护

• 补丁更新

目前微软官方已针对受支持的产品版本发布了修复以上漏洞的安全补丁，强烈建议受影响用户尽快安装补丁进行防护，官方下载链接：

https://msrc.microsoft.com/update-guide/releaseNote/2023-Nov

注：由于网络问题、计算机环境问题等原因，Windows Update的补丁更新可能出现失败。用户在安装补丁后，应及时检查补丁是否成功更新。

右键点击Windows图标，选择“设置(N)”，选择“更新和安全”-“Windows更新”，查看该页面上的提示信息，也可点击“查看更新历史记录”查看历史更新情况。

针对未成功安装的更新，可点击更新名称跳转到微软官方下载页面，建议用户点击该页面上的链接，转到“Microsoft更新目录”网站下载独立程序包并安装。

附录：漏洞列表