漏洞概要

2020年11月11日（北京时间），微软发布2020年11月份安全更新，共发布了112个CVE的补丁程序，同比上月增长25个，涵盖了Azure Sphere、Microsoft Dynamics、Microsoft Exchange Server、Microsoft Office、Microsoft Office SharePoint等众多组件和软件。

在漏洞安全等级方面，有17个被微软官方标记为“Critical”，93个被标记为“Important”。

在漏洞类型方面，有34个远程代码执行漏洞，4个拒绝服务漏洞，37个权限提升漏洞以及20个信息泄露漏洞。

漏洞分析

Microsoft Exchange Server： CVE-2020-17083/17084/17085，其中，CVE-2020-17083，CVE-2020-17084为远程代码执行漏洞，CVE-2020-17085为信息泄露漏洞。攻击者可以通过漏洞利用链先泄露出用户的敏感信息，然后获取远程Microsoft Exchange Server的权限，进而可以执行任意代码，由于今年爆发了很多Microsoft Exchange Server相关的漏洞，所以使得漏洞挖掘者对Microsoft Exchange Server的关注更多了一些。使用Microsoft Exchange Server的用户需要关注微软补丁更新，及时更新安全补丁。

Microsoft SharePoint： CVE-2020-17061，该漏洞为Microsoft SharePoint的远程代码执行漏洞。由于Microsoft SharePoint对用户输入的验证不足，存在反序列化漏洞，导致用户可以输入一些精心构造的数据，造成内存破坏，从而造成远程代码执行。该漏洞可以导致攻击者在SharePoint中执行任意代码。10月份微软安全更新也曝出了两个Microsoft SharePoint的远程代码执行漏洞，并且发现在野利用。

Microsoft Windows NFS：CVE-2020-17051/17056，CVE-2020-17051为远程代码执行漏洞，CVE-2020-17056为信息泄露漏洞。攻击者可以通过漏洞利用链先泄露出用户的敏感信息，然后获取远程Microsoft Windows的权限，进而可以执行任意代码。NFS是一种文件共享解决方案，用户可以使用NFS协议在运行Windows Server和UNIX操作系统的计算机之间传输文件。该漏洞在今年前面几个月份出现的较少，经过评估，危害比较大，影响Windows全版本。使用NFS的用户需要及时更新微软安全补丁。

影响范围

CVE编号

受影响版本

修复建议

微软官方已更新受影响软件的安全补丁，用户可根据不同版本系统下载安装对应的安全补丁，安全更新链接如下：

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17083

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17084

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17085

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17061

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17051

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-17056