Patch Tuesday：微软修补99个安全漏洞，内含一个IE零时差漏洞

微软在本周二（2/11）的Patch Tuesday每月例行性更新中，修补了99个安全漏洞，有11个被归类为重大（Critical）漏洞，包含上个月已被开采的IE零时差漏洞CVE-2020-0674。

根据资安业者Sophos的统计，微软在2月修补的99个漏洞中，有57%藏匿在Windows操作系统中，14%位于Win32k中，8%出现在脚本引擎，其它则散布在连网装置平台服务、Windows CNG金钥隔离服务及Windows核心中。

CVE-2020-0674漏洞存在于脚本引擎处理内存物件的方式，此一漏洞可用来破坏内存，成功的开采将允许骇客取得使用者权限，若使用者以管理员权限登入，代表骇客也能掌控整个系统，任意安装程式、变更或删除资料，也能建立具备完整使用者权限的新账号。

此一漏洞同时波及Windows Server 2008上的IE 9、Windows Server 2012上的IE 10，Windows 7/8.1/10上的IE 11，以及Windows Server 2016/2019上的IE 11。但微软已终止对Windows Server 2008与Windows 7的延伸支援，代表这次微软并未修补这两个平台上的CVE-2020-0674漏洞。资安专家奉劝这两个平台的用户，最好升级到Windows 10或是改用macOS装置，因为部署最新的Windows修补程式是必要的。

除了已被开采的CVE-2020-0674之外，微软也修补了3个已被揭露，但尚未被开采的安全漏洞，它们分别是存在于Windows Installer的CVE-2020-0683与CVE-2020-0686权限扩张漏洞，以及藏匿在微软浏览器中的CVE-2020-0706资讯揭露漏洞。

此外，这次微软修补的11个重大漏洞中，有6个位于脚本引擎，包括上述的CVE-2020-0674，以及CVE-2020-0710、CVE-2020-0711、CVE-2020-0712、CVE-2020-0713，与CVE-2020-0673。其中的CVE-2020-0710到0713波及基于EdgeHTML的Microsoft Edge，CVE-2020-0673与CVE-2020-0674则波及IE。它们皆为内存毁损漏洞，可造成远端程式攻击。

其它的重大漏洞，还有Windows的远端程式攻击漏洞CVE-2020-0662。存在于Windows远端桌面客户端程式中的程式攻击漏洞CVE-2020-0681与CVE-2020-0734。允许骇客透过恶意.LNK档案攻击并取得系统控制权的CVE-2020-0729漏洞。以及位于Windows Media Foundation、同样可造成远端程式攻击的CVE-2020-0738漏洞。