微软2021年10月份于周二补丁日针对71个漏洞发布安全补丁

今天已经周五了，微软的补丁日是每月的第二周的周二，而这几天因在网安周法治日工作中打杂，稍微有点忙就未能及时追踪该资讯。说起来，我也通过公众号的形式追踪三四年，每次也都会整理分享微软周二补丁日的概况了。趁今天时间来得及，根据微软官网和若干国外安全网站，继续整理微软周二补丁日系列内容。

本月对于网络安全来说是一个特殊的月份，为什么呢？因为我国和美国同期举办关于网络安全的重大活动，中国国家网络安全宣传周已经是第八期了，也是第一次从九月份延期到十月份举行，而美国的网络安全意识月也举办到第十八期了，同时欧洲也有类似美国的网络安全意识月。这次，我国国家网络安全宣传周和美国网络安全意识月，在同月举行。

在刚刚举办的法治日活动中，对网络安全又有了新的认知。也更加坚信，不断及时了解国内外安全资讯是提升自我网络安全意识的一条不错的途径。

微软本周二针对 Microsoft Windows 和 Windows 组件、Microsoft Edge（基于 Chromium）、Exchange Server、.NET Core 和 Visual Studio、Microsoft Office Services 和 Web Apps、SharePoint Server、Microsoft Dynamics、InTune 中的71个漏洞推出了安全补丁，其中包括一个针对主动利用的权限提升漏洞的修复程序，可与远程代码执行漏洞结合使用，以控制易受攻击的系统。

另外，十月份，Adobe 发布了6个补丁，涵盖 Adobe Reader、Acrobat Reader for Android、Adobe Campaign Standard、Commerce、Ops-CLI 和 Adobe Connect 中的 10 个 CVE。

四个典型漏洞：

• - CVE-2021-40449 - Win32k 特权提升漏洞
  此补丁修复了一个内核错误，可用于在受影响的系统上提升特权。攻击者通常将这些类型的错误与代码执行错误结合使用来接管系统。
• - CVE-2021-26427 - Microsoft Exchange Server 远程代码执行漏洞
  由于国家安全局 (NSA) 报告该漏洞，该漏洞肯定会受到广泛关注。由于类似的 CVE 数字。此漏洞并不严重，因为此漏洞在协议级别仅限于逻辑相邻的拓扑，并且无法从 Internet 访问。
• -CVE-2021-40486 - Microsoft Word 远程代码执行漏洞
  此补丁修复了在受影响的系统上查看特制 Word 文档时允许代码执行的错误。当与特权升级相结合时，可以用来接管目标系统。
• - CVE-2021-40454 - 富文本编辑控制信息泄露漏洞
  此漏洞不仅仅是转储随机内存位置，允许攻击者从内存中恢复明文密码，即使在 Windows 11 上也是如此。

另外，微软周一透露，其 Azure 云平台在 8 月的最后一周成功阻止了针对欧洲未具名客户的 2.4 Tbps 分布式拒绝服务 (DDoS) 攻击，超过了亚马逊网络服务在 2020 年 2 月阻止的2.3 Tbps 攻击。据报道是一个“ UDP反射”攻击，持续约10分钟。反射放大攻击是一种拒绝服务攻击，其中攻击者利用 UDP 协议的无连接特性，发出欺骗性请求，用大量数据包淹没目标服务器或网络，造成服务器中断及其周边基础设施不可用。

参考来源：微软官网等