KB4457984：Windows Server 2008 的 2018 年 9 月安全性更新

critical Nessus Plugin ID 117420

語系：

概要

遠端 Windows 主機受到多個弱點影響。

說明

遠端 Windows 主機缺少安全性更新 4457984 或是累積更新 4458010。因此，會受到多個弱點影響：- 當 Windows bowser.sys 核心模式驅動程式無法正確處理記憶體中的物件時，Windows 中存在資訊洩漏弱點。成功利用該弱點的攻擊者可能會洩漏系統記憶體內容。(CVE-2018-8271) - 當 Windows GDI 元件不當洩漏記憶體的內容時，存在一個資訊洩漏弱點。成功利用該弱點的攻擊者可以取得資訊以進一步危害使用者系統。攻擊者可以有多種方式惡意利用弱點，諸如誘騙使用者開啟特製文件或是誘騙使用者造訪未受信任的網頁。安全性更新透過修正 Windows GDI 元件處理記憶體中物件的方式解決該弱點。(CVE-2018-8424) - 可允許在受影響系統上進行遠端程式碼執行的 Microsoft JET 資料庫引擎中存在緩衝區溢位弱點。成功利用此弱點的攻擊者可控制受影響的系統。攻擊者接下來可以安裝程式、檢視/變更/刪除資料，或是建立具有完整使用者權限的新帳號。系統上帳戶使用者權限較低的使用者，其受影響的程度比擁有系統管理權限的使用者要小。(CVE-2018-8392、CVE-2018-8393) - 當 Windows 未正確處理特製的影像檔案時，存在遠端程式碼執行弱點。成功利用該弱點的攻擊者可執行任意程式碼。(CVE-2018-8475) - 當 Microsoft XML Core Services MSXML 剖析程式處理使用者輸入時，存在遠端程式碼執行弱點。成功利用該弱點的攻擊者可遠端執行惡意程式碼，來控制使用者的系統。(CVE-2018-8420) - 當 Windows 圖形元件不當處理記憶體中的物件時，存在資訊洩漏弱點。成功利用此弱點的攻擊者可以取得資訊以進一步危害使用者系統。經驗證的攻擊者可透過執行特製應用程式，來利用此弱點。更新透過修正 Windows 圖形元件處理記憶體中物件的方式解決該弱點。(CVE-2018-8433) - 當 Internet Explorer 不當存取記憶體中的物件時，存在遠端程式碼執行弱點。攻擊者可以在目前使用者的內容中執行任意程式碼，該弱點能夠藉此等方式損毀記憶體。成功利用此弱點的攻擊者可取得與目前使用者相同的使用者權限。(CVE-2018-8447) - 當 Windows 不當處理進階本機程序呼叫 (ALPC) 的呼叫時，存在一個權限提升弱點。成功利用此弱點的攻擊者，可在本機系統的安全性內容中執行任意程式碼。攻擊者接下來可以安裝程式、檢視/變更/刪除資料，或是建立具有完整使用者權限的新帳號。(CVE-2018-8440) - 當 Windows 核心不當處理記憶體中的物件時，存在資訊洩漏弱點。成功利用此弱點的攻擊者可以取得資訊以進一步危害使用者系統。經驗證的攻擊者可透過執行特製應用程式，來利用此弱點。更新透過修正 Windows 核心處理記憶體中物件的方式解決此弱點。(CVE-2018-8442、CVE-2018-8443) - 當 Windows 核心無法正確初始化記憶體位址時，存在一個資訊洩漏弱點。成功利用此弱點的攻擊者可以取得資訊以進一步危害使用者系統。(CVE-2018-8419) - 當主機作業系統上的 Windows Hyper-V 無法正確驗證虛擬機器上的作業系統中經驗證使用者的輸入時，存在資訊洩漏弱點。(CVE-2018-8434) - Windows 字型程式庫中存在遠端程式碼執行弱點，這是因不當處理特製的內嵌字型所致。成功利用此弱點的攻擊者可控制受影響的系統。攻擊者接下來可以安裝程式、檢視/變更/刪除資料，或是建立具有完整使用者權限的新帳號。(CVE-2018-8332) - Windows 中存在權限提升弱點，導致沙箱逸出。成功利用該弱點的攻擊者可以使用沙箱逸出在受影響系統上提升權限。此弱點本身不允許執行任意程式碼。但是如果攻擊者在嘗試程式碼執行時利用此弱點，並與能夠利用提升後權限的其他弱點 (諸如遠端程式碼執行弱點或是其他權限提升弱點) 結合，則其可允許執行任意程式碼。安全性更新透過修正 Windows 剖析檔案的方式解決此弱點。(CVE-2018-8468) - Microsoft .NET Framework 處理輸入時，存在遠端程式碼執行弱點。成功利用此弱點的攻擊者可控制受影響的系統。(CVE-2018-8421) - 當 Windows 核心不當處理記憶體中的物件時，存在資訊洩漏弱點。成功利用此弱點的攻擊者可以取得資訊以進一步危害使用者系統。(CVE-2018-8336、CVE-2018-8446)