微软补丁日修复 150 个安全漏洞（67个 RCE）

近期是微软 2024 年 4 月补丁日，近期的安全更新修复了 150 个缺陷，其中 67 个为远程代码执行漏洞（RCE）。本月的补丁日不包含针对 Microsoft 披露的0day漏洞的任何修复程序。

超过一半的 RCE 缺陷是在 Microsoft SQL 驱动程序中发现的，可能存在一个共同的缺陷。

每个漏洞类别中的漏洞数量：

1. 31个特权提升漏洞
2. 29个安全功能绕过漏洞
3. 67个远程代码执行漏洞
4. 13个信息泄露漏洞
5. 7个拒绝服务漏洞
6. 3个欺骗漏洞

150 个漏洞总数不包括 4 月 4 日修复的 5 个 Microsoft Edge 缺陷和 2 个 Mariner 缺陷。Mariner 是  Microsoft 为其 Microsoft Azure 服务开发的开源 Linux 发行版。

微软呼吁紧急关注一个让黑客完全控制 Azure Kubernetes 集群的漏洞。

微软在安全公告中表示，该漏洞编号为CVE-2024-29990，允许未经身份验证的黑客窃取凭据并影响超出 Azure Kubernetes 服务机密容器 (AKSCC) 管理的安全范围的资源。

微软安全响应团队表示，Azure Kubernetes 服务错误的 CVSS 严重性评分为 9/10，可被利用来接管其可能绑定的网络堆栈之外的机密来宾和容器。

微软警告说：“未经身份验证的攻击者可以将相同的工作负载转移到他们控制的机器上，而攻击者是root用户。”

Azure Kubernetes 服务错误是一个大型补丁包的头条新闻，其中包括针对 Microsoft Defender for IOT 中的三个远程代码执行错误的修复以及标记为已被利用的严重 Windows 安全启动绕过。

4月补丁日修复了数十个影响 WIndows 操作系统和软件组件、Microsoft Office 生产力套件、Microsoft SQL Server、DNS Server、Visual Studio 和 Bitlocker 的远程代码执行问题。

据跟踪软件补丁发布的公司ZDI称，这是微软至少自 2017 年以来最大的一次发布，且不包括对今年 Pwn2Own 黑客大赛中所利用漏洞的修复。

转自会杀毒的单反狗，原文链接：https://mp.weixin.qq.com/s/y4h9TzbL8xJwTyMWqHASOg