2020-12 补丁日: 微软多个高危漏洞通告

　　漏洞简述

　　2020年12月09日，微软官方 发布了 12月安全更新 的风险通告，事件等级： 严重 ，事件评分： 9.8 。

　　此次安全更新发布了 58 个漏洞的补丁，主要涵盖了以下组件: Windows操作系统、IE/Edge浏览器、ChakraCore、Office办公套件、Exchange Server、Azure、微软动态、Visual Studio 。其中包括 9 个严重漏洞， 46 个高危漏洞。

　　建议广大用户及时将 Windows操作系统及相关组件 升级到最新版本。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

　　漏洞详情

　　CVE-2020-17132: 代码执行漏洞

　　由于Exchange对cmdlet参数的验证不正确，Microsoft Exchange服务器中存在一个远程执行代码漏洞。

　　成功利用此漏洞的攻击者可以在系统用户的上下文中运行任意代码。

　　利用此漏洞需要拥有以某个Exchange角色进行身份验证的用户权限。该漏洞与`CVE-2020-16875`相似

　　CVE-2020-17121: 代码执行漏洞

　　SharePoint中存在一处远程代码执行漏洞。

　　经过身份验证的攻击者通过发送特制请求包，可在SharePoint Web应用中执行任意.NET代码。

　　CVE-2020-16996: 验证绕过漏洞

　　Kerberos 验证流程中存在一处安全特性绕过漏洞。

　　该漏洞影响RBCD流程，具体影响尚未公开。

　　CVE-2020-17095: 代码执行漏洞

　　Hyper-V中存在一处代码执行漏洞，该漏洞可造成虚拟环境逃逸。

　　远程攻击通过在Hyper-V虚拟环境中运行特制的二进制程序与宿主使用vSMB通信，可造成在宿主系统中执行任意代码。

　　修复建议

　　应及时进行Microsoft Windows版本更新并且保持Windows自动更新开启。

　　Windows server / Windows 检测并开启 Windows自动更新 流程如下

　　- 点击开始菜单，在弹出的菜单中选择“控制面板”进行下一步。

　　- 点击控制面板页面中的“系统和安全”，进入设置。

　　- 在弹出的新的界面中选择“windows update”中的“启用或禁用自动更新”。

　　- 然后进入设置窗口，展开下拉菜单项，选择其中的 自动安装更新(推荐) 。

　　临时修补建议

　　通过如下链接自行寻找符合操作系统版本的漏洞补丁，并进行补丁下载安装。

　　2020 年 12 月安全更新 - 发行说明 - 安全更新程序指南 - Microsoft

　　参考链接

　　2020 年 12 月安全更新 - 发行说明 - 安全更新程序指南 - Microsoft

　　THE DECEMBER 2020 SECURITY UPDATE REVIEW