奇安信代码卫士帮助微软和 Oracle 修复多个高危漏洞,获官方致谢 – 作者:奇安信代码卫士

近日,奇安信代码安全实验室的研究员为微软和 Oracle 发现多个高危漏洞,其中为微软发现一个“重要”级别的漏洞(CVE-2020-1426),为 Oracle 发现六个“高危”等级别的漏洞(CVE-2020-14698CVE-2020-14699CVE-2020-14700CVE-2020-14707CVE-2020-14714CVE-2020-14715)。研究员第一时间向微软和 Oracle报告且协助它们修复漏洞。

北京时间2020715日,微软和 Oracle 分别发布补丁更新公告以及致谢公告,公开致谢奇安信代码安全实验室研究人员。

 图片[1]-奇安信代码卫士帮助微软和 Oracle 修复多个高危漏洞,获官方致谢 – 作者:奇安信代码卫士-安全小百科

图:微软官方致谢

 图片[2]-奇安信代码卫士帮助微软和 Oracle 修复多个高危漏洞,获官方致谢 – 作者:奇安信代码卫士-安全小百科

图:Oracle 官方致谢

 

漏洞简述

CVE-2020-1426 – “重要”级别的Windows 内核信息泄露漏洞

当 Win32k 组件未能正确地处理内存对象时,就会造成信息泄露。攻击者如成功利用该漏洞,则可获取相关信息,进一步攻陷用户系统。经身份验证的攻击者可运行特殊构造的应用程序利用该漏洞,泄露内核内存信息。该漏洞影响Windows 10 和 Windows Server 2019、Windows Server(版本1903和2004)等多个版本。

 

CVE-2020-14698、CVE-2020-14699和CVE-2020-14700 – VM VirtualBox 整数溢出和越界读取漏洞

这些漏洞位于 Oracle Virtualization 的 Oracle VM VirtualBox 产品(Core 组件)中,不仅影响 Oracle VM VirtualBox,而且还可能严重影响其它产品,可导致攻击者越权访问关键数据或完全访问所有 Oracle VM VirtualBox 的可访问数据,可能造成代码执行后果。这些漏洞影响的受支持版本均为5.2.44之前、6.0.24之前和6.1.12之前的版本。

 

CVE-2020-14707、CVE-2020-14714和CVE-2020-14715 – VM VirtualBox 拒绝服务漏洞

这些漏洞位于 Oracle Virtualization 的 Oracle VM VirtualBox 产品(Core 组件)中,均易遭利用,可导致攻击者越权造成 Oracle VM VirtualBox 服务挂起或经常反复崩溃(完全的拒绝服务)。这些漏洞影响的受支持版本均为5.2.44之前、6.0.24之前和6.1.12之前的版本。

微软和Oracle已分别解决这些漏洞问题,用户应尽快予以更新。

 

参考链接

https://portal.msrc.microsoft.com/en-us/security-guidance/acknowledgments

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-1426

https://www.oracle.com/security-alerts/cpujul2020.html

https://www.oracle.com/security-alerts/cpujul2020verbose.html#OVIR

来源:freebuf.com 2020-07-15 15:09:49 by: 奇安信代码卫士

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论