微軟12月安全更新修補38個漏洞，近1/4為重大漏洞、兩個零時差漏洞

微軟在本周二（12/11）的Patch Tuesday修補了38個安全漏洞，其中有9個被列為重大（Critical）漏洞，以及有2個零時差漏洞。

此次微軟所修補的零時差漏洞分別為CVE-2018-8611及CVE-2018-8517。其中，CVE-2018-8611為一藏匿在Windows Kernel的權限擴張漏洞，因Windows Kernel未能適當處理記憶體中的物件而造成。駭客必須先登入系統，並執行經過特殊設計的應用程式來取得系統的控制權，成功開採該漏洞的駭客可於核心模式執行任意程式，包括安裝程式、變更或刪除資料，以及建立具備完整使用者權限的新帳號。

CVE-2018-8611屬於未曾被公開，但已遭駭客開採的零時差漏洞。

CVE-2018-8517則是.NET框架上的阻斷服務漏洞，會在.NET框架不恰當地處理特殊網路請求時現身，造成.NET框架應用程式的服務被阻斷，而且駭客不需要認證即可自遠端展開攻擊。此一漏洞屬於已被揭露，但尚未出現攻擊行動的零時差漏洞。

此外，資安業者Rapid 7認為本月最嚴重的漏洞多位在伺服器端，例如CVE-2018-8626是個存在於Windows DNS伺服器中的漏洞，在無法妥善處理請求時即會造成堆積溢位，並引來遠端程式攻擊，只要是配置成DNS伺服器的Windows伺服器都受到該漏洞的影響。

CVE-2018-8604則是因Exchange Server未能正確處理檔案資料，當駭客通過Exchange Server認證，傳送一個針對特定用戶的惡意請求，就能竄改該名用戶的檔案資料。

至於客戶端的CVE-2018-8631、CVE-2018-8624與CVE-2018-8628則是分別位於IE、Microsoft Edge與PowerPoint中的遠端程式攻擊漏洞，而且都是很有可能遭到開採的漏洞。