Microsoft为Edge Browser发布多个关键修补程序

微软修补了一大堆影响其Edge浏览器的关键错误，这些错误可能允许攻击者劫持目标PC，只需将受害者引导到装有特制漏洞利用代码的被操纵的网站即可。 总而言之，微软解决了四个关键的Edge漏洞，这是该公司2019年第一轮Patch Tuesday错误修复的一部分。

每个浏览器错误都是内存损坏漏洞。 三个（ CVE-2019-0539 ， CVE-2019-0568 ， CVE-2019-0567 ）与微软自己的名为Chakra Scripting Engine的JavaScript引擎相关联。 据微软称 ，第四个（ CVE-2019-0565 ）是一个远程代码执行漏洞，当Edge不正确地访问内存中的对象时就存在这个漏洞。

总体而言，微软周二修补了49个漏洞，其中7个被列为关键漏洞，40个被列为重要漏洞，两个被列为中等漏洞。 特别感兴趣的是Jet数据库引擎远程代码执行漏洞（ CVE-2019-0579 ），该漏洞在补丁之前公开，但未在野外被利用。

“当Windows Jet数据库引擎不正确地处理内存中的对象时，存在远程执行代码漏洞。 成功利用此漏洞的攻击者可以在受害者系统上执行任意代码，“微软写道。

根据微软安全公告，为了利用Jet漏洞，攻击者首先必须诱骗受害者打开恶意文件。

另一个值得注意的补丁是针对Skype for Android特权提升漏洞（ CVE-2019-0622 ），该漏洞可能允许黑客绕过身份验证方法并访问Android设备上的个人数据 - 只需回答对该设备的Skype呼叫即可。 Threatpost 周一报道了这个漏洞 。

“显然，攻击者需要物理访问您的手机才能执行此操作。 根据已发布的报告 ，对此的修复已包含在12月23日发布的Skype中，因此本版本主要记录了详细信息。 虽然微软没有将此列为众所周知，但研究人员在12月31日发布了一段YouTube 视频，展示了该漏洞。要获得更新，您需要手动访问Google Play商店并从那里更新Skype应用，“ 零日活动在其补丁周二评论中 。

Tenable的高级研究工程师Satnam Narang在给Threatpost的电子邮件评论中指出：

“今天微软补丁周二版本中最值得注意的漏洞是Windows DHCP客户端（ CVE-2019-0547 ）中的远程代码执行缺陷，这是本月评级最高的CVE。 为了利用此漏洞，攻击者需要能够向其目标发送特制的DHCP响应，允许它们在客户端计算机上运行任意代码。

该错误的CVSS评分为9.8，并影响最新版本的Windows 10（版本1803）和Windows Server（版本1803）。

“本月修补的Windows数据共享服务中还存在多个特权提升漏洞，”Narang写道。 “攻击者可以利用这些漏洞在受影响的系统上提升权限。 这是继10月份通过Twitter公开披露Windows数据共享服务中的零日特权提升漏洞之后的事情。“

Recorded Future的高级解决方案架构师艾伦·利斯卡（Allan Liska）指出，安全领域的大部分注意力仍然集中在微软为Internet Explorer内存发布的12月带外补丁中，尽管这不是本月一轮补丁的一部分。腐败漏洞（CVE-2018-8653）。

“这种漏洞继续在野外被利用，Recorded Future已经看到一些漏洞利用工具包将已发布的概念验证代码纳入其平台。 如果你还没有修补这个漏洞，它应该是第一优先，“Liska说。