微软发布2023年10月补丁，修复103个漏洞、包括2个零日漏洞

文章概要:

1. 微软发布2023年10月的“星期二补丁”更新，解决了103个漏洞，其中包括2个零日漏洞和13个严重漏洞。

2. 两个零日漏洞中一个涉及Microsoft WordPad，可能泄露NTLM哈希，另一个涉及Skype for Business，可能导致敏感信息泄露。

3. 补丁还解决了Microsoft Message Queuing和Layer2Tunneling Protocol中的多个漏洞，以及Windows IIS Server中的严重特权升级漏洞。

微软于2023年10月发布了其“星期二补丁”更新，以应对其软件中的103个漏洞，其中包括2个零日漏洞和13个严重漏洞。这次更新不仅关注微软自家的问题，还包括自九月的第二个星期二以来针对基于Chromium的Edge浏览器解决的18个安全漏洞。

这两个零日漏洞中，一个标识为CVE-2023-36563，涉及Microsoft WordPad，其漏洞评分为6.5，可能导致NTLM哈希的泄露。另一个是CVE-2023-41763，关联Skype for Business，漏洞评分为5.3，可能导致IP地址或端口号等敏感信息的泄露，从而使威胁行为者能够进入内部网络。

根据微软的建议，攻击者需要首先登录系统，然后运行一个专门制作的应用程序，以利用漏洞并接管受影响的系统。此外，攻击者还可以说服本地用户打开恶意文件，通过电子邮件或即时消息的诱导，说服用户点击链接，然后说服他们打开专门制作的文件。

此外，微软还解决了影响Microsoft Message Queuing（MSMQ）和Layer2Tunneling Protocol的多个漏洞，这些漏洞可能导致远程代码执行和拒绝服务(DoS)。此次安全更新还解决了Windows IIS Server中的一个严重特权升级漏洞(CVE-2023-36434，CVSS评分为9.8)，可能允许攻击者通过暴力攻击冒充并登录其他用户。

此外，微软还发布了一个关于CVE-2023-44487的更新，也被称为HTTP/2Rapid Reset攻击，此漏洞已被未知的攻击者作为零日漏洞用于进行大容量分布式拒绝服务（DDoS）攻击。微软指出，虽然这种DDoS可能影响服务可用性，但它本身不会导致客户数据的泄漏，目前还没有客户数据泄漏的证据。

微软宣布将淘汰Visual Basic Script（VBScript），该脚本经常被恶意软件利用进行传播。微软补充说，在将来的Windows版本中，VBScript将作为按需功能提供，然后从操作系统中删除。