微软在7月周二补丁日中修复了142个漏洞，包括两个正在被积极利用的零日漏洞。

零日漏洞包括CVE-2024-38080，这是微软Hyper-V虚拟化软件中影响Windows 11和Windows Server 2022的特权提升漏洞。该漏洞CVSS评分为7.8，并被评为重要。微软对CVE-2024-38080的公告称，已检测到利用情形，尽管活动范围尚不清楚。该公告还表示，该漏洞是由一名匿名人士向微软报告。

修复的第二个零日漏洞是CVE-2024-38112，这是Windows MSHTML平台中的一个欺骗漏洞。该漏洞的CVSS评分为7.5，也被评为重要。利用该漏洞使攻击者能够通过网络发送恶意文件，尽管微软在公告中指出，它需要“在该漏洞被利用之前采取额外行动来准备目标环境”。

Ivanti安全产品管理副总裁Chris Goettl告诉TechTarget Editorial，如果攻击者已经在你的网络上的某个地方，他们可以远程利用这个漏洞，这不是一件难事。这影响了所有Windows操作系统版本，甚至可以追溯到Windows Server 2008。

微软感谢Check Point Software Technologies的Haifei Li发现并报告了CVE-2024-38112。在X（以前是Twitter）上的一篇帖子中，Li对微软表示沮丧，称这家软件巨头比预期更早地披露和修复了该漏洞，并且没有将时间表更改通知Check Point。

其他漏洞

微软还修补了另外两个被归类为零日的漏洞，因为这些漏洞在本月的补丁星期二正式发布之前就已经被公开，尽管没有被利用。

第一个是CVE-2024-35264，这是一个影响的远程代码执行漏洞。NET版本8.0和Visual Studio 2022。RCE漏洞的CVSS评分是8.1，并被评为重要。微软的公告称，成功利用该漏洞需要攻击者赢得比赛条件。该公司没有说是谁首次公布CVE-2024-35264，也没有说明在哪里公开。然而，微软员工Radek Zikmund发现了这一漏洞。

第二个披露的零日漏洞是CVE-2024-37985，这是基于Arm64系统的Windows 11版本中的信息披露漏洞；它的CVSS评分为5.9，也被评为重要。据微软称，攻击者可能会利用该漏洞来查看目标服务器上特权进程的堆内存。

根据微软的公告显示，CVE-2024-37985的攻击复杂性被认为很高，利用的可能性“较小”。然而，Goettl表示，企业应该优先考虑这个漏洞。

Goettl说，特权过程将包含更敏感的信息。“漏洞利用的机会较低，但因为它已被披露，它让威胁行为者更清楚地知道在哪里寻找这个漏洞。风险甚至高于一些没有披露的关键漏洞。”

除了两个与披露相关的零日漏洞外，微软还修补了CVE-2024-38060，这是一个影响Windows成像组件的RCE漏洞，这是处理图像的框架。该漏洞获得了8.8的CVSS分，并被评为严重。攻击者可以通过将恶意TIFF文件上传到目标服务器来利用该漏洞。

周二的大规模补丁仅在SQL Server中就包含38个RCE漏洞。Goettl说，142个漏洞绝对是“大数量”，但用户不应该惊慌。

他说：“当这么多漏洞出来时，你通常想快速修复。随着本月操作系统和SQL Server的更新，你可以修复大部分漏洞。”