政府電腦保安事故協調中心 - 高危保安警報 (A18-01-03): Microsoft 產品多個漏洞

描述:

Microsoft 發布了 18 個安全性更新，以應對多個影響個別 Microsoft 產品或元件漏洞。

Google Project Zero披露了CPU架構中的設計錯誤，導致Microsoft Windows和Microsoft Windows Server上存在多個漏洞，包括CVE-2018-0741及CVE-2018-0744至CVE-2018-0747。成功攻擊這些漏洞可導致提高權限，用戶應立即採取行動修補受影響系統以降低風險。

Microsoft 提供進一步資訊關於以下兩種產品的兼容性問題:

AMD CPU 微型處理器
有報告指一些 AMD 裝置在安裝應對「Meltdown」和「Spectre」問題的修補程式後會進入無法啟動的狀態。Microsoft已暫時停止更新受影響的AMD CPU處理器的系統。

抗惡意程式軟件
Microsoft確認軟件更新與一些抗惡意程式軟件之間存在兼容問題，導致Windows操作系統無法啟動。有些抗惡意程式軟件供應商就以上問題提供補充資料:

我們強烈建議你諮詢產品供應商以確定 AMD CPU 微型處理器及抗惡意程式軟件是否與軟件更新兼容。

受影響的系統:

Microsoft Internet Explorer 9, 10, 11
Microsoft Edge
Microsoft Windows 7, 8.1, 10
Microsoft Windows Server 2008, 2008 R2, 2012, 2012 R2, 2016
Microsoft Windows Server, version 1709
Microsoft SQL Server 2016, 2017

有關受影響產品的完整列表，請參考以下網址:

這連結會以新視窗打開。https://portal.msrc.microsoft.com/en-us/security-guidance

影響:

成功利用這些漏洞可以導致遠端執行程式碼、提高權限、泄漏資訊或服務受阻斷，視乎攻擊者利用哪個漏洞而定。

要完全修補與CPU設計錯誤相關的漏洞，系統管理員亦應向向系統原始設備製造商（OEM）查詢韌體更新並升級韌體至不受影響的版本。

建議:

受影響產品的修補程式可在 Windows Update 或 Microsoft Update Catalog 獲取。受影響系統的用戶應遵從產品供應商的建議，立即採取行動以降低風險。

進一步資訊:

標籤 : Microsoft , Internet Explorer , Edge , Windows , Windows Server , SQL Server , Meltdown , Spectre