安全公告编号:CNTA-2019-0039
12月10日，微软发布了2019年12月份的月度例行安全公告，修复了其多款产品存在的107个安全漏洞。受影响的产品包括：Windows 10 1903 & Windows Server v1903（14个）、Windows 10 1809 & Windows Server 2019（15个）、Windows 10 1803 & Windows Server v1803（14个）、Windows 8.1 & Server 2012 R2（11个）、Windows RT 8.1（10个）、Windows Server 2012（11个）、Windows 7 andWindows Server 2008 R2（14个）、Windows Server 2008（11个）、Internet Explorer（1个）和MicrosoftOffice-related software（6个）。
利用上述漏洞，攻击者可以获取敏感信息，提升权限，欺骗，绕过安全功能限制，执行远程代码，或进行拒绝服务攻击等。CNVD提醒广大Microsoft用户尽快下载补丁更新，避免引发漏洞相关的网络安全事件。
CVE编号 | 公告标题和摘要 | 最高严重等级和漏洞影响 | 受影响的软件 |
CVE-2019-1471 | Windows Hyper-V远程代码执行漏洞 当主机服务器上的Windows Hyper-V未能正确地验证输入时，存在远程代码执行漏洞。要利用此漏洞，攻击者可以在来宾操作系统上运行构建的应用程序，可能导致Hyper-V主机操作系统执行任意代码。 成功利用此漏洞的攻击者可以在主机操作系统上执行任意代码。 | 严重 远程执行代码 | Windows 10 Server, version 1803 Server 2019 Server, version 1903 Server, version 1909 |
CVE-2019-1458 | Win32k权限提升漏洞 当Win32k组件未能正确处理内存中的对象时，Windows存在权限提升漏洞。要利用此漏洞，攻击者首先登录到系统。然后攻击者可以运行编制的应用程序，可利用此漏洞并控制受影响的系统。此更新通过更正Win32k如何处理内存中的对象来解决此漏洞。 | 重要 特权提升 | Windows 10 Server 2016 Windows 7 Windows 8.1 Server 2008 Server 2008 R2 Server 2012 Server 2012 R2 |
CVE-2019-1468 | Win32k Graphics远程代码执行漏洞 当Windows字体库未能正确处理专门设计的嵌入式字体时，存在远程代码执行漏洞。成功利用此漏洞的攻击者可以控制受影响的系统。然后，攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。将帐户配置为在系统上拥有较少用户权限的用户可能比使用管理用户权限操作的用户受影响更小。攻击者有多种方法可以利用此漏洞进行攻击。 | 严重 远程执行代码 | Windows 10 Server, version 1909 Server, version 1803 Server 2019 Server, version 1903 Server 2016 Windows 7 Windows 8.1 Server 2008 Server 2008 R2 Server 2012 Server 2012 R2 |
CVE-2019-1485 | VBScript远程代码执行漏洞 VBScript引擎处理内存中的对象的方式，存在远程代码执行漏洞。该漏洞可破坏内存，使得攻击者可以在当前用户的上下文中执行任意代码。成功利用此漏洞的攻击者可以获得与当前用户相同的用户权限。如果当前用户使用管理用户权限登录，则成功利用此漏洞的攻击者可以控制受影响的系统。然后，攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。 | 严重 远程执行代码 | Internet Explorer 10 Internet Explorer 9 Internet Explorer 11 |
CVE-2019-1462 | Microsoft PowerPoint远程代码执行漏洞 当软件未能正确处理内存中的对象时，Microsoft PowerPoint软件中存在远程代码执行漏洞。成功利用此漏洞的攻击者可以在当前用户的上下文中运行任意代码。如果当前用户使用管理用户权限登录，则攻击者可以控制受影响的系统。然后，攻击者可以安装程序；查看、更改或删除数据；或创建具有完全用户权限的新帐户。将帐户配置为在系统上拥有较少用户权限的用户可能比使用管理用户权限操作的用户受影响更小。 安全更新通过更正Microsoft PowerPoint如何处理内存中的对象来解决此漏洞。 | 重要 远程执行代码 | Office 2019 Office 2019 for Mac Office 365 ProPlus PowerPoint 2013 PowerPoint 2016 Office 2016 for Mac PowerPoint 2010 |
参考信息：
https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/adv990001
https://techcommunity.microsoft.com/t5/Windows-IT-Pro-Blog/Windows-7-servicingstack-updates-managing-change-and/ba-p/260434
https://docs.microsoft.com/en-us/windows/deployment/update/servicing-stackupdates#why-should-servicing-stack-updates-be-installed-and-kept-up-to-date
声明：本文来自CNVD漏洞平台，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
