微軟9月例行更新來了！當中修補兩個已公開的零時差漏洞

本週二（9月9日）微軟發布本月例行更新（Patch Tuesday），總共修補81項資安漏洞，較7月、8月的130個及111個再度減少。從漏洞的類型來看，權限提升（EoP）漏洞最多，有38個，其次是遠端程式碼執行（RCE）及資訊洩露（ID）漏洞，有22個、14個；安全繞過及阻斷服務（DoS）漏洞各有3個，另有1個是可被用於欺騙的漏洞。

根據漏洞的嚴重程度與類型來看，這次有8個被評為重大層級，RCE漏洞最多，有5個，2個權限提升漏洞、1個資訊洩露漏洞。

值得留意的是，有項漏洞CVE-2025-55234，其實在這次修補之前就已經被公開，屬於SMB權限提升弱點，CVSS風險評為8.8分。該漏洞有可能導致SMB伺服器面臨中繼攻擊，攻擊者有機會濫用特定物件進行權限提升，以取得受害使用者的權限。微軟提及目前SMB伺服器已具備簽章功能，以及身分驗證延伸防護（Extended Protection for Authentication，EPA），而能夠防範這類中繼攻擊。由於啟用這些強化防護的機制，可能會衍生相容性的問題，這次發布的修補程式，也支援稽核SMB用戶端對上述兩種防護的相容性。

長期分析微軟每月例行更新的資安業者Rapid7強調，這項漏洞光是套用更新程式不足以緩解，若不處理，攻擊者有機會透過ARP欺騙、DNS中毒，或其他手法假冒合法伺服器，而且，他們還可能利用資安人員熟悉的開源工具Responder來簡化攻擊流程，並設法破解雜湊值而得到密碼。Rapid7強調，這次微軟提及的都是已被公開的攻擊手法，因此他們認為，嚴格來說，CVE-2025-55234並非真正的零時差漏洞。

另一個是已公開漏洞：由去年資安業者VulnCheck揭露的CVE-2024-21907，這次微軟也著手修補而受到關注。這項漏洞影響SQL Server 2016至SQL Server 2022，為Newtonsoft.Json元件的例外條件不當處理漏洞，而有可能導致阻斷服務。此漏洞存在於該元件低於13.0.1版的版本。

Rapid7指出，這項漏洞並非出現在SQL Server本身，而是用於處理.NET應用程式JSON檔案的標準元件Newtonsoft.Json，雖然這項漏洞是VulnCheck在去年1月登記CVE編號，但最早是另一家資安業者Aleph Security於2018年察覺。為何微軟現在才做出處理，目前仍不得而知。