微软2023年10份于周二补丁日针对103个漏洞发布安全补丁

微软发布了 2023 年 10 月的补丁星期二更新，解决了其软件中的总共103 个缺陷，其中两个缺陷已被广泛利用。

在 103 个缺陷中，13 个缺陷的严重程度被评为“严重”，90 个缺陷的严重程度被评为

“重要”。自 9 月第二个星期二以来，基于 Chromium 的 Edge 浏览器已解决了18 个安全漏洞。

已被武器化为零日漏洞的两个漏洞如下：

-CVE-2023-36563（CVSS 评分：6.5）- Microsoft WordPad 中的信息泄露漏洞，可能导致 NTLM 哈希泄露

-CVE-2023-41763（CVSS 评分：5.3）- Skype for Business 中的权限提升漏洞，可能导致 IP 地址或端口号（或两者）等敏感信息暴露，从而使威胁参与者能够访问内部网络

微软在 CVE-2023 的通报中表示：“要利用此漏洞，攻击者首先必须登录系统。然后攻击者可以运行特制的应用程序，该应用程序可以利用此漏洞并控制受影响的系统。” 

1. 
   
2. 
   

-   CVE-2023-36563 - Microsoft WordPad 信息泄露漏洞
此漏洞是被广泛利用的两个漏洞之一。成功利用该漏洞可能会导致 NTLM 哈希值泄露。Microsoft 未列出任何预览窗格矢量，因此需要用户交互。除了应用此补丁之外，您还应该考虑在 Windows 11 上阻止通过 SMB 的出站 NTLM。这一新功能尚未引起太多关注，但它可能会显着阻碍 NTLM 中继攻击。

- CVE-2023-41763 – Skype for Business 特权提升漏洞
这是本月受到主动攻击的另一个错误，它的行为更像是信息泄露，而不是特权升级。攻击者可能对受影响的 Skype for Business 服务器进行恶意调用，导致服务器将 HTTP 请求解析到任意地址。这可能会导致信息泄露，其中可能包括提供内部网络访问权限的敏感信息。

- CVE-2023-35349 - Microsoft 消息队列远程代码执行漏洞
这是本月 20 个（！）消息队列补丁之一，也是其中 CVSS 最高的一个（9.8）。未经身份验证的远程攻击者可以在服务级别执行任意代码，而无需用户交互。这使得这个错误很容易传播——至少在启用消息队列的系统上是这样。您绝对应该检查您的系统以查看它是否已安装，并考虑在您的外围阻止 TCP 端口 1801。

-   CVE-2023-36434 - Windows IIS Server 权限提升漏洞
虽然被 Microsoft 标记为“重要”，但仍获得 CVSS 9.8 评级。成功利用此错误的攻击者可以以其他用户身份登录到受影响的 IIS 服务器。Microsoft 并未将其评为“严重”，因为它需要暴力攻击，但如今，暴力攻击可以轻松实现自动化。如果您正在运行 IIS，则应将此视为关键更新并快速修补。

1. 2023 年 10 月 Adobe 补丁

2. 10 月份，Adobe 发布了三个公告，涉及 Adobe Photoshop、Bridge 和 Adobe Commerce 中的 13 个 CVE。其中总共三个 CVE 通过 ZDI 计划获得。Commerce的补丁是本月最大的补丁，解决了 10 个关键和重要的 CVE。其中最严重的可能允许通过 SQL 注入执行任意代码。Photoshop的更新修复了一个代码执行错误。攻击者需要说服用户使用 Photoshop 打开特制文件才能利用受影响的系统。

3. Adobe 本月修复的所有错误在发布时均未被列为公开已知或受到主动攻击。Adobe 将这些更新分类为部署优先级 3。

4. 开启等级保护之路：GB 17859网络安全等级保护上位标准
5. 回看等级保护：重要政策规范性文件43号文（上）

6. 网络安全等级保护实施指南培训PPT
   

7. 网络安全等级保护安全物理环境测评培训PPT
   

8. 网络安全等级保护：等级保护测评过程要求PPT

9. 网络安全等级保护：安全管理中心测评PPT
   

10. 网络安全等级保护：安全管理制度测评PPT
    

11. 网络安全等级保护：定级指南与定级工作PPT
    

12. 网络安全等级保护：云计算安全扩展测评PPT
    

13. 网络安全等级保护：工业控制安全扩展测评PPT
    

14. 网络安全等级保护：移动互联安全扩展测评PPT

15. 网络安全等级保护：第三级网络安全设计技术要求整理汇总
16. 网络安全等级保护：等级测评中的渗透测试应该如何做
17. 网络安全等级保护：等级保护测评过程及各方责任
18. 网络安全等级保护：政务计算机终端核心配置规范思维导图
19. 网络安全等级保护：什么是等级保护？
    
20. 网络安全等级保护：信息技术服务过程一般要求

21. 网络安全等级保护：浅谈物理位置选择测评项

22. 闲话等级保护：网络安全等级保护基础标准（等保十大标准）下载
23. 闲话等级保护：什么是网络安全等级保护工作的内涵？
24. 闲话等级保护：网络产品和服务安全通用要求之基本级安全通用要求
    
25. 闲话等级保护：测评师能力要求思维导图
    
26. 闲话等级保护：应急响应计划规范思维导图
    
27. 闲话等级保护：浅谈应急响应与保障
    
28. 闲话等级保护：如何做好网络总体安全规划
    
29. 闲话等级保护：如何做好网络安全设计与实施
    
30. 闲话等级保护：要做好网络安全运行与维护
    
31. 闲话等级保护：人员离岗管理的参考实践

32. 信息安全服务与信息系统生命周期的对应关系

33. >>>工控安全<<<
34. 工业控制系统安全：信息安全防护指南
35. 工业控制系统安全：工控系统信息安全分级规范思维导图
36. 工业控制系统安全：DCS防护要求思维导图
37. 工业控制系统安全：DCS管理要求思维导图
38. 工业控制系统安全：DCS评估指南思维导图
39. 工业控制安全：工业控制系统风险评估实施指南思维导图
40. 工业控制系统安全：安全检查指南思维导图（内附下载链接）
41. 工业控制系统安全：DCS风险与脆弱性检测要求思维导图
42. 
    
43. >>>数据安全<<<

44. 数据治理和数据安全

45. 数据安全风险评估清单

46. 成功执行数据安全风险评估的3个步骤

47. 美国关键信息基础设施数据泄露的成本

48. 备份：网络和数据安全的最后一道防线

49. 数据安全：数据安全能力成熟度模型

50. 数据安全知识：什么是数据保护以及数据保护为何重要？

51. 信息安全技术：健康医疗数据安全指南思维导图

52. 金融数据安全：数据安全分级指南思维导图

53. 金融数据安全：数据生命周期安全规范思维导图
    

54. 
    

55. >>>供应链安全<<<

56. 美国政府为客户发布软件供应链安全指南
    

57. OpenSSF 采用微软内置的供应链安全框架
    

58. 供应链安全指南：了解组织为何应关注供应链网络安全
    

59. 供应链安全指南：确定组织中的关键参与者和评估风险
    

60. 供应链安全指南：了解关心的内容并确定其优先级

61. 供应链安全指南：为方法创建关键组件

62. 供应链安全指南：将方法整合到现有供应商合同中

63. 供应链安全指南：将方法应用于新的供应商关系

64. 供应链安全指南：建立基础，持续改进。

65. 思维导图：ICT供应链安全风险管理指南思维导图
    

66. 英国的供应链网络安全评估

67. >>>其他<<<

68. 网络安全十大安全漏洞

69. 网络安全等级保护：做等级保护不知道咋定级？来一份定级指南思维导图

70. 网络安全等级保护：应急响应计划规范思维导图

71. 安全从组织内部人员开始

72. VMware 发布9.8分高危漏洞补丁

73. 影响2022 年网络安全的五个故事

74. 2023年的4大网络风险以及如何应对

75. 网络安全知识：物流业的网络安全

76. 网络安全知识：什么是AAA（认证、授权和记账）？

77. 美国白宫发布国家网络安全战略

78. 开源代码带来的 10 大安全和运营风险

79. 不能放松警惕的勒索软件攻击

80. 10种防网络钓鱼攻击的方法

81. Mozilla通过发布Firefox 111修补高危漏洞

82. Meta 开发新的杀伤链理论

83. 最佳CISO如何提高运营弹性