微软11月安全更新多个高危漏洞 （CVE-2021-42298,CVE-2021-42279,CVE-2021-42316,CVE-2021-26443,CVE-2021-3711,CVE-2021-

近日，网络应急团队监测到微软发布11月份安全补丁，共发布了55个漏洞的补丁程序，其中，Microsoft Defender、IE Chakra脚本引擎、Microsoft Dynamics 365、Microsoft 虚拟机总线、OpenSSL和Windows远程桌面客户端等产品中的6个漏洞被微软官方标记为紧急漏洞。其中重要漏洞如下：

【重大安全漏洞】

1、CVE-2021-42298 Microsoft Defender 远程代码执行漏洞

漏洞类型：远程代码执行

简述：该漏洞允许远程攻击者在目标系统上执行任意代码。该漏洞的存在是由于Microsoft Defender中的输入验证不正确。远程攻击者可以在目标系统上执行任意代码。成功利用该漏洞可能会导致脆弱系统的完全破坏。

2、CVE-2021-42279 IE Chakra 脚本引擎内存损坏漏洞

漏洞类型：远程代码执行

简述：该漏洞允许远程攻击者在目标系统上执行任意代码。该漏洞的存在是由于Chakra脚本引擎的边界错误。远程攻击者可以触发内存损坏并在目标系统上执行任意代码。成功利用该漏洞可能会导致脆弱系统的完全破坏。

3、CVE-2021-42316 Microsoft Dynamics 365（本地部署）远程代码执行漏洞

漏洞类型：远程代码执行

简述：该漏洞允许远程攻击者在目标系统上执行任意代码。该漏洞是由于Microsoft Dynamics 365(本地部署)中的输入验证不正确。经过身份验证的远程攻击者可以发送一个专门设计的请求，并在目标系统上执行任意代码。成功利用该漏洞可能会导致脆弱系统的完全破坏。

4、CVE-2021-26443 Microsoft 虚拟机总线 (VMBus) 远程代码执行漏洞

漏洞类型：远程代码执行

简述：该漏洞的存在是由于 Microsoft 虚拟机总线 (VMBus) 中的输入验证不正确。本地网络上经过远程身份验证的攻击者可以在 VMBus 通道上发送特制的通信并在目标系统上执行任意代码。

5、CVE-2021-3711 OpenSSL SM2 解密缓冲区溢出漏洞

漏洞类型：远程代码执行

简述：该漏洞允许远程攻击者在目标系统上执行任意代码。该漏洞的存在是由于SM2解密实现中的EVP_PKEY_decrypt()函数的边界错误。远程攻击者可以发送专门制作的SM2内容进行解密，以触发缓冲区溢出62个字节，并在目标系统上执行任意代码。成功利用该漏洞可能会导致脆弱系统的完全破坏。此漏洞由OpenSSL 于8月修补，本月微软为Microsoft Visual Studio 发布安全更新。

6、CVE-2021-38666 Windows远程桌面客户端远程代码执行漏洞

漏洞类型：远程代码执行

简述：Windows远程桌面客户端存在基于堆的缓冲区溢出，漏洞存在于mstscax.dll。攻击者可以利用客户端和服务器之间现有的本地 RDPDR 静态虚拟通道设置，通过 RDP 智能卡虚拟通道扩展功能 (MS-RDPESC) 触发该漏洞。想要利用该漏洞，攻击者需要诱导受害者RDP客户端连接到恶意服务器。

7、CVE-2021-42321 Microsoft Exchange Server 远程代码执行漏洞

漏洞类型：远程代码执行

简述：该漏洞的存在是由于Microsoft Exchange Server对cmdlet参数的验证不足。远程用户可以在系统上运行专门设计的cmdlet并执行任意命令。要利用此漏洞，攻击者需要对易受攻击的 Exchange Server 进行身份验证。该漏洞似乎在天府杯中被利用。

8、CVE-2021-42292 Microsoft Excel 安全功能绕过漏洞

漏洞类型：安全功能绕过

简述：该漏洞的存在是由于处理 Excel 文件时输入验证不当造成的。远程攻击者可通过创建特制的 Excel 文件并诱使受害者打开来利用此漏洞，成功利用此漏洞可在目标系统上执行任意代码。

9、CVE-2021-41356 Windows 拒绝服务漏洞

漏洞类型：拒绝服务

简述：该漏洞的存在是由于对 Windows 中用户提供的输入的验证不足。远程攻击者可以将特制的输入传递给应用程序并执行拒绝服务 (DoS) 攻击。

【受影响版本】

• Microsoft Exchange

• Windows 10

• Windows Server 2022

• Windows Server version 20H2

• Windows Server version 2004

• Windows Server 2019

• Windows Server 2016

• Windows Server 2012 R2

• Windows Server 2012

• Windows Server 2008 R2

• Windows Server 2008

• Windows RT 8.1

• Microsoft Dynamics 365

• Microsoft Visual Studio

• Microsoft Office

• Microsoft Excel

• Microsoft 365 Apps



Windows 是Microsoft生产的一系列个人计算机操作系统，是Windows NT系列操作系统的一部分。它于2015年7月29日发布。Windows 10持续不断地发布新版本，用户无需支付额外费用。截至2017年11月，该操作系统在超过6亿台设备上运行。