0x00 漏洞概述

北京时间2019年3月14日，微软发布了例行安全更新，修补了Internet Explorer, Edge, Exchange Server, ChakraCore, Windows, Office, NuGet包管理器和.NET Framework等多个产品中的漏洞。这64个CVE中，17个被评为严重(Critical)，45个被评为重要(Important)，一个被评为中等(Moderate)，一个被评为低(Low)。其中四个漏洞被列为public，两个漏洞发布补丁之前已经被攻击者利用。几个比较重要的漏洞详情如下。

CVE-2019-0797：这是卡巴斯基实验室近段时间发现在野外被利用并报告的第四个windows内核0day漏洞，被发现的EXP针对从win8到win10 build 15063的64位系统。卡巴斯基实验室认为这个漏洞被多个APT组织使用，包括但不限于FruityArmor和SandCat。在卡巴斯基的博客中提供了部分技术细节：The fourth horseman: CVE-2019-0797 vulnerability

CVE-2019-0808：这是google发现在野外和chrome 0day漏洞配合做沙箱逃逸用的windows内核0day漏洞，此前360CERT已经发布了预警：CVE-2019-5786：chrome在野利用0day漏洞预警。360核心安全技术中心通过编写代码构造出POC，对漏洞触发过程进行了一些还原，以便安全厂商可以增加相应的防护措施：关于CVE-2019-0808内核提权漏洞的成因分析。该漏洞是一个空指针解引用漏洞，仅能在win7上利用，被发现的EXP针对win7 32位系统。

CVE-2019-0697，CVE-2019-0698，CVE-2019-0726：这是本月修复的三个与DHCP有关的漏洞。国内外有安全研究团队针对上个月修补的DHCP中的CVE-2019-0626发布了技术分析：Windows DHCP Server远程代码执行漏洞分析（CVE-2019-0626）；Analyzing a Windows DHCP Server Bug (CVE-2019-0626)。当攻击者向DHCP服务器发送精心设计的数据包并成功利用后，就可以在DHCP服务中执行任意代码。微软发布了针对win10 1803/1809和windows server 2019/1803的补丁。

CVE-2019-0603：该漏洞可能允许攻击者通过特制的TFTP消息执行具有提升的权限的代码。2019年3月6日checkpoint发布了一篇博客披露了2018年11月修复的TFTP中的CVE-2018-8476：PXE Dust: Finding a Vulnerability in Windows Servers Deployment Services。该漏洞类似于CVE-2018-8476，但这个漏洞在TFTP服务的实现中，而不在TFTP协议本身中。windows发布了从win7到win10的多个版本的补丁。

鉴于本月修复的多个漏洞影响严重，部分技术细节公开，360CERT建议广大用户尽快进行修补。

0x01 时间线

2019-03-13 微软发布例行安全更新

2019-03-15 360CERT研判漏洞，发布漏洞预警公告