奇安信代码卫士帮助微软和 Oracle 修复多个高危漏洞，获官方致谢
聚焦源代码安全，网罗国内外最新资讯！
近日，奇安信代码安全实验室的研究员为微软和Oracle 发现多个高危漏洞，其中为微软发现一个“重要”级别的漏洞(CVE-2020-1426)，为 Oracle 发现六个“高危”等级别的漏洞（CVE-2020-14698、CVE-2020-14699、CVE-2020-14700、CVE-2020-14707、CVE-2020-14714和CVE-2020-14715）。研究员第一时间向微软和 Oracle报告且协助它们修复漏洞。
北京时间2020年7月15日，微软和 Oracle 分别发布补丁更新公告以及致谢公告，公开致谢奇安信代码安全实验室研究人员。
图：微软官方致谢
图：Oracle 官方致谢
漏洞概述
CVE-2020-1426 – “重要”级别的Windows 内核信息泄露漏洞
当 Win32k 组件未能正确地处理内存对象时，就会造成信息泄露。攻击者如成功利用该漏洞，则可获取相关信息，进一步攻陷用户系统。经身份验证的攻击者可运行特殊构造的应用程序利用该漏洞，泄露内核内存信息。该漏洞影响Windows 10 和 Windows Server 2019、Windows Server（版本1903和2004）等多个版本。
CVE-2020-14698、CVE-2020-14699和CVE-2020-14700 – VM VirtualBox 整数溢出和越界读取漏洞
这些漏洞位于 OracleVirtualization 的Oracle VM VirtualBox 产品（Core组件）中，不仅影响 Oracle VM VirtualBox，而且还可能严重影响其它产品，可导致攻击者越权访问关键数据或完全访问所有 Oracle VM VirtualBox 的可访问数据，可能造成代码执行后果。这些漏洞影响的受支持版本均为5.2.44之前、6.0.24之前和6.1.12之前的版本。
CVE-2020-14707、CVE-2020-14714和CVE-2020-14715 – VM VirtualBox 拒绝服务漏洞
这些漏洞位于 OracleVirtualization 的Oracle VM VirtualBox 产品（Core组件）中，均易遭利用，可导致攻击者越权造成 Oracle VM VirtualBox 服务挂起或经常反复崩溃（完全的拒绝服务）。这些漏洞影响的受支持版本均为5.2.44之前、6.0.24之前和6.1.12之前的版本。
微软和Oracle已分别修复这些漏洞问题，用户应尽快予以更新。
参考链接
https://portal.msrc.microsoft.com/en-us/security-guidance/acknowledgments
https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-1426
https://www.oracle.com/security-alerts/cpujul2020.html
https://www.oracle.com/security-alerts/cpujul2020verbose.html#OVIR
关于奇安信代码卫士
关于奇安信代码安全实验室
奇安信代码卫士帮助微软修复Windows 内核漏洞，获官方致谢和奖金
奇安信代码卫士报送的漏洞获评“CNVD平台2019年度最具价值漏洞”
奇安信代码卫士帮助微软修复Edge浏览器和Windows内核高危漏洞，获官方致谢和奖金
奇安信代码卫士联合软件所帮助 Adobe 公司修复多个漏洞，获官方致谢
题图：Pixabay License
转载请注明“转自奇安信代码卫士 www.codesafe.cn”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
点个“在看”，bounty 不停~