微软推出了针对包括 Windows 10 和 Microsoft Office 在内的软件产品中的 117 个漏洞的修复程序，其中包括多达 9 个“零日”漏洞。 支付额外安全更新费用的 Windows 10、Windows 8.1 和 Windows 7 用户将希望尽快运行 Windows 更新以安装修复程序。
如果 Windows 框不打扰您运行 Windows 更新，请单击左下角的 Windows 徽标，单击设置，然后单击更新和安全。 然后点击检查更新并按照屏幕提示进行操作。
根据您如何定义第 0 天，有 4 个或 9 个这些修复缺陷已在周二的 7 月巡演中得到纠正。 在微软有机会为其中任何一个修复程序之前，所有九个都被公开披露，但据软件制造商所知，只有四个被“在野外”使用来攻击 Windows 用户。
它之间的 噩梦版 （目录编号 CVE-2021-34527)，这是将打印作业发送到网络打印机的打印后台处理程序中的错误。 6 月下旬，一家安全公司无意中公开披露了该漏洞，该公司误解了 Microsoft 公告并认为该漏洞已修复。
事实并非如此，攻击者使用了在 Twitter 上简短发布的概念验证漏洞来发起现实世界的攻击。 微软 发布了 PrintNightmare 的紧急补丁 上周，但一些安全专家表示它并没有完全修复这个错误。 Microsoft 不接受此修复程序，并在本月的安全更新汇总中为上周未安装此修复程序的用户提供此修复程序。
诱杀文件
在其他三个积极利用的零日中，它是最糟糕的 CVE-2021-34448，它允许恶意创建的网页包含诱杀文件，当通过 Web 浏览器下载时，该文件可以在 Windows 设备上执行代码。
用户必须被诱骗点击链接才能开始利用，但这对许多攻击者来说并不是一个巨大的障碍。
“在基于 Web 的攻击场景中，攻击者可以托管一个网站（或利用接受或托管用户提交的内容的受感染网站），其中包含旨在利用该漏洞的专门创建的文件，” 微软在安全公告中写道 .
“然而，攻击者无法强迫用户访问该网站。相反，攻击者必须说服用户点击链接，通常是通过电子邮件或即时消息的诱骗，然后说服用户打开专门设计的文件”。
需要本地访问
另外两个积极利用零日（CVE-2021-31979 而 33771) 需要本地访问——攻击者必须在机器上运行或使用机器，或者可能使用本地网络。 但是，通过其他方式进入设备的恶意软件可以利用这些缺陷。
两者都代表 Windows 内核中的“权限提升”漏洞，可用于授予用户他们不应该拥有的低权限、管理权限或进程权限。
在五个未被积极利用的零日中，只有三个影响服务器，因此我们将跳过它。
另外两个之一（CVE-2021-33781) 是一种安全功能绕过，这意味着你可以在没有密码或许可证的情况下进入某些东西，尽管微软没有提供太多细节，只是可以在线利用它。
其他 （CVE-2021-34492) 使攻击能够伪造 Windows 证书，这是一种用于验证真实性的数字签名形式。 它也可以在线利用，尽管微软认为总体风险很低。
除了指出其中 10 个被评为“严重”并允许在线安装和执行恶意代码外，我们不会讨论其他 108 个已修复的缺陷。 （您可以阅读整个文件 Microsoft 安全公告 2021 年 7 月 在互联网上）。
“驕傲的網絡狂熱者。微妙迷人的推特怪胎。讀者。互聯網先驅。音樂愛好者。”
More Stories
这种多功能纤维具有改进的能量存储和灵活性
太阳之子花了20年才一鸣惊人
Slack 正在向所有付费客户推出其人工智能工具