微软修补115个安全漏洞，有26个被列为重大风险

微软在今年3月的Patch Tuesday例行性修补日，修补了115个安全漏洞，当中有26个被列为重大（Critical）风险，但此次并未出现零时差攻击漏洞。

趋势科技旗下的Zero Day Initiative（ZDI），列出了其中4个容易被恶意程式作者利用的远端程式攻击漏洞，它们分别是存在于Word的CVE-2020-0852、出现在Dynamics Business Central的CVE-2020-0905、藏身于LNK中的CVE-2020-0684，以及Application Inspector中的CVE-2020-0872。

当中的CVE-2020-0684，同样也被思科（Cisco）旗下的威胁情报组织Talos点名。

根据微软的说明，CVE-2020-0684漏洞位于Windows中，骇客只要透过一个伴随着恶意执行程式的恶意.LNK档案，就能触发该漏洞，骇客的手法可能是透过远端分享或是随身碟，来诱导使用者执行恶意.LNK档案，成功开采的骇客，将可取得本地端用户的同样权限。

Talos也特别提出了出现在Microsoft Media Foundation中的4个安全漏洞，包括CVE-2020-0801、CVE-2020-0807、CVE-2020-0809及CVE-2020-0869，它们属于内存损毁漏洞，骇客只要诱导使用者开启一个恶意档案或网页，就能触发相关漏洞，成功开采将允许骇客在受害装置上安装程式、变更或删除档案，以及建立新的使用者账号。

还有另外两个重大漏洞位于GDI+，这是C语言与C++语言的API，相关漏洞为CVE-2020-0881与CVE-2020-0883，骇客只要设置一个恶意网站并吸引使用者开启就能开采，属于远端程式攻击漏洞。

在此次微软修补的91个重要（Important）漏洞中，Talos特别强调了CVE-2020-0850、CVE-2020-0851、CVE-2020-0852与CVE-2020-0855，它们都是出现在Word处理内存中物件的时候，骇客可利用一个特制的档案，来代替使用者采取行动。