安全公告编号:CNTA-2017-0055

7月11日，微软发布了2017年7月份的月度例行安全公告，修复了其多款产品存在的206个安全漏洞。受影响的产品包括Windows10 v1703（22个）、Windows10 v1607 and WindowsServer 2016（24个）、Windows10 v1511（22个）、Windows10 RTM（22个）、Windows 8.1 and Windows Server 2012 R2（23个）、WindowsServer 2012（23个）、Windows 7 and Windows Server 2008 R2（20个）、WindowsServer 2008（20个）、Internet Explorer (7个)、Microsoft Edg（18个）、Office（5个）。

利用上述漏洞，攻击者可以执行远程代码，提升权限，绕过安全功能限制，获得敏感信息或进行拒绝服务攻击等。CNVD提醒广大Microsoft用户尽快下载补丁更新，避免引发漏洞相关的网络安全事件。

CVE编号	公告标题和摘要	最高严重等级和漏洞影响	受影响的软件
CVE-2017-8584	HoloLens远程代码执行漏洞 当HoloLens未能正确处理内存中的对象存在远程代码执行漏洞。成功利用此漏洞的攻击者可以控制受影响的系统。 要利用此漏洞，攻击者需要发送一个精心编制的Wi-Fi包。	重要 远程执行代码	Microsoft Windows
CVE-2017-8587	Windows Explorer拒绝服务漏洞 攻击者可以利用此漏洞通过托管一个特制的网站，并说服用户浏览页面，包含对非现有文件的引用，并导致受害者的系统停止响应。	重要 拒绝服务	Microsoft Windows
CVE-2017-8589	Windows Search远程代码执行漏洞 攻击者将特制的信息发送到Windows搜索服务。在企业场景中，远程未经身份验证的攻击者可以通过SMB连接远程触发漏洞，然后控制目标计算机。	严重 远程执行代码	Microsoft Windows
CVE-2017-8608	浏览器脚本引擎远程代码执行漏洞 攻击者可以托管一个特制的网站，通过受影响的Microsoft浏览器利用此漏洞，然后说服用户查看网站。攻击者也可以利用受损网站或通过添加可能利用此漏洞的特制内容来接受或托管用户提供的内容或广告的网站。攻击者还可以在承载IE或Edge渲染引擎的应用程序或Office文档中嵌入一个标记为“初始化安全”的ActiveX控件。	严重 远程执行代码	Microsoft Edg Internet Explorer
CVE-2017-8501	Office远程代码执行漏洞 利用这些漏洞需要用户打开受影响的Microsoft Office软件版本的特制文件。 网络场景 - 攻击者使用该漏洞托管恶意网站，然后说服用户访问该网站或攻击者利用其他提供商托管广告的受损网站和/或网站。 电子邮件场景 - 攻击者发送特制文件并说服用户打开文件。	重要 远程执行代码	Microsoft Office
CVE-2017-8585	.NET Framework拒绝服务漏洞 当Microsoft公共对象运行时库未能正确地处理Web需求时，存在拒绝服务漏洞。成功利用此漏洞的攻击者可能会导致对.NET Web应用程序的拒绝服务。 远程未经身份验证的攻击者可以通过向.NET应用程序发出特制请求来利用此漏洞。	重要 拒绝服务	.NET Framework
CVE-2017-8559 CVE-2017-8560	Exchange权限提升漏洞 成功利用此漏洞的攻击者交换Outlook Web Access（OWA）可以执行脚本/内容注入攻击,试图欺骗用户披露敏感信息。 利用此漏洞，攻击者可以向用户发送包含恶意链接的特制电子邮件。或者，攻击者可以使用聊天客户端社交工程师点击恶意链接。	重要 特权提升	Microsoft Exchange
CVE-2017-8621	Exchange欺骗漏洞 攻击者可以发送一个特制的URL。当验证的交换用户单击链接时，经过身份验证的用户的浏览器会话可能会重定向到恶意网站，旨在模拟合法网站。通过这样做，攻击者可能会欺骗用户并可能获取敏感信息，例如用户的凭据。	重要 欺骗	Microsoft Exchange

参考信息：

https://portal.msrc.microsoft.com/en-us/security-guidance/summary

https://portal.msrc.microsoft.com/en-us/security-guidance/releasenotedetail/f2b16606-4945-e711-80dc-000d3a32fc99

信息提供者：微软

漏洞报告文档编写：

------------------------------------------------------------

CNVD是CNCERT联合国内多家重要信息系统用户、安全厂商、软件厂商、互联网企业等共同建立的国家信息安全漏洞共享平台，旨在国内建立统一收集、发布、验证、分析等信息安全漏洞应急处置体系。

在发布漏洞公告信息之前，CNVD都力争保证每条公告的准确性和可靠性。然而，采纳和实施公告中的建议则完全由用户自己决定，其可能引起的问题和结果也完全由用户承担。是否采纳我们的建议取决于您个人或您企业的决策，您应考虑其内容是否符合您个人或您企业的安全策略和流程。

我们鼓励所有计算机与网络安全研究机构，包括厂商和科研院所，向我们报告贵单位所发现的漏洞信息。我们将对所有漏洞信息进行验证并在CNCERT/CC网站和国家信息安全漏洞共享平台（CNVD）公布漏洞信息及指导受影响用户采取措施以避免损失。

如果您发现本公告存在任何问题，请与我们联系：vreport@cert.org.cn