微软披露首个由中国发现的蠕虫级漏洞奇安信代码安全实验室获致谢

微软披露首个由中国发现的蠕虫级漏洞奇安信代码安全实验室获致谢 – 作者:奇安信代码卫士

奇安信代码安全实验室研究员为微软发现一个严重的DNS服务器远程代码执行漏洞 (CVE-2021-24078)，第一时间报告并协助其修复漏洞。该漏洞是首个由国内安全研究员发现并提交的蠕虫级漏洞，危害巨大，CVSS 评分为9.8分，堪比去年微软修复的类似漏洞 (CVE-2020-1350)。
北京时间2021年2月10日，微软发布了补丁更新公告以及致谢公告，公开致谢奇安信代码安全实验室研究人员。

图1-1 微软官方致谢

近期，奇安信代码安全实验室研究员再获多家著名厂商致谢。研究员被微软评为2020年第四季度“最佳研究员”，以及因发现并协助修复 Chrome高危漏洞而获得谷歌致谢。

图1-2 获微软2020年第四季度“最佳研究员”荣誉称号

图1-3 谷歌官方致谢

漏洞概述

CVE-2021-24078 —— Windows DNS Server 远程代码执行漏洞

攻击者仅需向目标DNS服务器发送特制数据包，即可利用该漏洞在目标系统上以本地系统账户权限执行任意代码，且触发无需交互、无需身份认证且在 Windows DNS 默认配置下即可执行。

微软已发布修复方案，用户应尽快修复。

参考链接

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-24078

关于奇安信代码卫士

基于奇安信代码安全实验室多年的技术积累，奇安信在国内率先推出了自主可控的源代码安全分析系统——奇安信代码卫士和奇安信开源卫士。奇安信代码卫士是一套静态应用程序安全测试系统，可检测1300多种源代码安全缺陷，支持C、C++、C#、Objective-C、Swift、Java、JavaScript、PHP、Python、Cobol、Go等20多种编程语言。奇安信开源卫士是一套集开源软件识别与安全管控于一体的软件成分分析系统，通过智能化数据收集引擎在全球范围内获取开源软件信息和漏洞信息，帮助客户掌握开源软件资产状况，及时获取开源软件漏洞情报，降低由开源软件带来的安全风险，奇安信开源卫士目前可识别4000多万个开源软件版本，兼容NVD、CNNVD、CNVD等多个漏洞库。

关于奇安信代码安全实验室

奇安信代码安全实验室是奇安信集团旗下，专注于软件源代码安全分析技术、二进制漏洞挖掘技术研究与开发的团队。实验室支撑国家级漏洞平台的技术工作，多次向国家信息安全漏洞库（CNNVD）和国家信息安全漏洞共享平台（CNVD）报送原创通用型漏洞信息；帮助微软、谷歌、苹果、Cisco、Juniper、Red Hat、Ubuntu、Oracle、Adobe、VMware、阿里云、飞塔、华为、施耐德、Mikrotik、Netgear、D-Link、Netis、以太坊公链等大型厂商或机构的产品发现了数百个安全漏洞。目前，实验室拥有国家信息安全漏洞库特聘专家一名，多名成员入选微软全球TOP安全研究者。在Pwn2Own 2017世界黑客大赛上，实验室成员获得Master of Pwn破解大师冠军称号。

我们正在招聘漏洞挖掘工程师，等你来哟！

简历投递：[email protected]