微軟Patch Tuesday修補兩個已被開採的Windows漏洞

微軟在9日釋出4月的Patch Tuesday安全更新，總計修補了74個安全漏洞，包含CVE-2019-0803及CVE-2019-0859兩個已被開採的Windows漏洞。

CVE-2019-0803與CVE-2019-0859雖然是兩個不同的漏洞，但它們都屬於權限擴張漏洞，也都是在Win32k元件無法妥善處理記憶體中的物件時即會被觸發，駭客必須先登入系統，並執行特製程式以開採該漏洞，成功攻陷將允許駭客於核心模式執行任意程式，包括安裝程式、變更或刪除資料，以及建立擁有完整使用權限的帳號。

儘管這兩個漏洞都必須先從本地端存取系統才能開採，但Rapid7安全研究人員Greg Wiseman表示，只要搭配微軟此次修補的任何一個遠端攻擊漏洞就能讓駭客自遠端取得系統的完整控制權。

另一個高風險的漏洞為CVE-2019-0841，它是在Windows AppX Deployment Service（AppXSVC）不當處理硬連結（hard links）時可能觸發權限擴張漏洞，雖然它只被列為重要（Important）漏洞，但相關的概念性驗證攻擊程式已經在網路上現身。

在74個漏洞中有15個被列為重大（Critical）等級。被資安專家視為該優先修補的包括CVE-2019-0853、CVE-2019-0845及CVE-2019-0786。

其中，CVE-2019-0853漏洞存在於Windows繪圖裝置介面（GDI）處理記憶體中物件的方式，駭客可代管一個惡意網站並誘導使用者造訪，或是在網路上分享惡意檔案就能開採該漏洞，成功的攻擊將可取得使用者權限。

CVE-2019-0845則是Windows IOleCvt介面的遠端程式攻擊漏洞，CVE-2019-0786為SMB Server的權限擴張漏洞，成功的開採可允許駭客繞過作業系統的特定安全檢查，進而掌控整個系統。