微软1月安全更新多个高危漏洞 （CVE-2022-21907,CVE-2022-21846,CVE-2022-21855,CVE-2022-21969,CVE-2022-21887,CVE-2022-

近日，网络应急团队监测到微软发布了2022年1月安全更新补丁，共发布了97个漏洞的补丁程序，其中，Virtual Machine IDE 驱动程序、DirectX 图形内核、Microsoft Office、 Microsoft Exchange Server、HTTP协议栈等产品中的9个漏洞被微软官方标记为紧急漏洞，其中，CVE-2022-21907 HTTP协议栈远程代码执行漏洞被微软标记为蠕虫漏洞，微软建议优先修补受此漏洞影响的服务器。利用此漏洞不需要身份认证和用户交互，攻击者仅需发送特制的HTTP请求即可在目标服务器上以提升的权限执行任意代码。其中影响较大的14个漏洞（包括2个紧急漏洞和12个重要漏洞）的详细信息如下：

CVE-2022-21907 HTTP 协议堆栈远程执行代码漏洞

漏洞类型：远程代码执行

风险等级：紧急

简介：HTTP存在远程代码执行漏洞，由于HTTP协议栈(HTTP.sys)中的HTTP Trailer Support功能中存在边界错误导致缓冲区溢出。该漏洞允许未授权的远程攻击者通过向Web服务器发送一个特制的HTTP请求，触发缓冲区溢出，从而在目标系统上执行任意代码。

Microsoft Exchange Server 远程执行代码漏洞

漏洞类型：远程代码执行

风险等级：紧急、重要

简介：Microsoft Exchange Server存在远程执行代码漏洞（CVE-2022-21846、CVE-2022-21855、CVE-2022-21969，其中CVE-2022-21846风险等级为紧急，CVE-2022-21855、CVE-2022-21969风险等级为重要），由于没有对用户提供的输入进行充分验证，相邻网络的经过身份验证的攻击者可以制作特制数据发送给Exchange服务器，并在系统上执行任意代码，利用该漏洞无需用户交互。

Win32k 权限提升漏洞

漏洞类型：权限提升

风险等级：重要

简介：Win32K存在两个权限提升漏洞（CVE-2022-21887、CVE-2022-21882）这些漏洞允许本地攻击者通过漏洞将权限提升至SYSTEM。该漏洞是由于Win32k中应用程序没有正确进行安全限制，导致安全限制被绕过和权限提升。

CVE-2022-21903 Windows GDI 权限提升漏洞

漏洞类型：权限提升

风险等级：重要

简介：Windwos GDI存在权限提升漏洞，该漏洞由于Windows GDI输出过多数据，导致攻击者可以访问敏感信息并允许本地攻击者通过该漏洞提升权限，利用该漏洞无需用户交互

CVE-2022-21908 Windows Installer 权限提升漏洞

漏洞类型：权限提升

风险等级：重要

简介：Windows Installer存在权限提升漏洞，由于Windows Installer中没有正确的实施安全限制导致本地攻击者可以绕过并提升自身权限，利用该漏洞无需用户交互。

CVE-2022-21919 Windows User Profile Service 的权限提升漏洞

漏洞类型：权限提升

风险等级：重要

简介：Windows User Profile service存在权限提升漏洞，由于该服务中存在边界错误，本地攻击者可以通过该漏洞提升权限并执行任意代码，利用该漏洞无需用户交互。

CVE-2022-21881 Windows 内核权限提升漏洞

漏洞类型：权限提升

风险等级：重要

简介：Windows 内核存在权限提升漏洞，由于Windows内核中的边界错误导致本地攻击者可以通过专门的程序触发缓冲区溢出，提升权限并执行任意代码，利用该漏洞无需用户交互。

Windows 通用日志文件系统驱动程序提升权限漏洞

漏洞类型：权限提升

风险等级：重要

简介：Windows 通用日志文件系统驱动程序存在权限提升漏洞（CVE-2022-21897、CVE-2022-21916），由于Windows公共日志文件系统驱动程序中的边界错误，本地用户可以运行专门设计的程序来触发内存损坏，导致权限提升。

Windows 远程访问连接管理器权限提升漏洞

漏洞类型：权限提升

风险等级：重要

简介：Windows 远程访问连接管理器存在权限提升漏洞（CVE-2022-21914、CVE-2022-21885），由于应用程序没有在Windows远程访问连接管理器中适当地施加安全限制，本地攻击者可以绕过安全限制导致权限提升。利用该漏洞无需用户交互。

【受影响版本】

• Microsoft Exchange

• Windows 11

• Windows 10

• Windows Server 2022

• Windows Server version 20H2

• Windows Server 2019

• Windows Server 2016

• Windows Server 2012 R2

• Windows Server 2012

• Windows Server 2008 R2

• Windows Server 2008

• Windows RT 8.1

• Windows 8.1

• Windows 7

• 

Windows 是Microsoft生产的一系列个人计算机操作系统，是Windows NT系列操作系统的一部分。它于2015年7月29日发布。Windows 10持续不断地发布新版本，用户无需支付额外费用。截至2017年11月，该操作系统在超过6亿台设备上运行。