一、漏洞概述
2023 年11 月14 日，微软发布了11 月安全更新，本次更新共修复了58 个漏洞（不包括之前发布的Microsoft Edge等安全更新），漏洞类型包括特权提升漏洞、远程代码执行漏洞、信息泄露漏洞、拒绝服务漏洞、安全功能绕过漏洞和欺骗漏洞等。
本次安全更新共修复了5 个0 day 漏洞，其中3 个已发现在攻击中被利用，3 个已经公开披露。CVE-2023-36033目前已经公开披露，且已发现被利用。详情如下：
CVE-2023-36036：Windows Cloud Files Mini Filter Driver 特权提升漏洞（高危）
Windows 云文件迷你过滤器驱动程序中存在本地权限提升漏洞，成功利用该漏洞可以获得SYSTEM 权限。该漏洞的CVSSv3 评分为7.8，目前已发现被利用。
CVE-2023-36033：Windows DWM Core Library 特权提升漏洞（高危）
Windows DWM 核心库中存在本地权限提升漏洞，成功利用该漏洞可以获得SYSTEM 权限。该漏洞的CVSSv3评分为7.8，目前已经公开披露，且已发现被利用。
CVE-2023-36025：Windows SmartScreen 安全功能绕过漏洞（高危）
Windows SmartScreen 存在安全功能绕过漏洞，成功利用该漏洞可绕过Windows Defender SmartScreen 检查及其相关提示，利用该漏洞需要用户交互，比如用户须单击特制的Internet 快捷方式(.URL) 或指向Internet 快捷方式文件的超链接等。该漏洞的CVSSv3 评分为8.8，目前已发现被利用。
CVE-2023-36413：Microsoft Office 安全功能绕过漏洞（高危）
Microsoft Office 中存在安全功能绕过漏洞，可以通过向用户发送恶意文件并诱导用户打开文件来利用该漏洞，成功利用可能导致绕过Office 受保护的视图并以编辑模式而不是保护模式打开。该漏洞的CVSSv3 评分为6.5，目前已经公开披露，微软的可利用性评估为“可能被利用”。
CVE-2023-36038：ASP.NET Core 拒绝服务漏洞（高危）
ASP.NET Core 存在拒绝服务漏洞，如果取消对IIS InProcess 托管模型上运行的.NET 8 RC 1 的http 请求，则可以利用该漏洞，使得线程计数增加，并且可能会出现OutOfMemoryException，成功利用该漏洞可能导致拒绝服务。该漏洞的CVSSv3 评分为8.2，目前已经公开披露。
评级为严重的3 个漏洞详情如下：
CVE-2023-36052 ：Azure CLI REST Command 信息泄露漏洞（严重）
该漏洞的CVSSv3 评分为8.6，成功利用该漏洞可以从受影响的CLI 命令创建并由Azure DevOps 或GitHubActions 发布的日志文件中恢复明文密码和用户名。使用受影响的CLI 命令的用户须将其Azure CLI 版本更新到2.53.1 或更高版本来缓解该漏洞，这也适用于通过Azure DevOps 或GitHub Actions 使用这些命令创建日志文件的用户。
CVE-2023-36400：Windows HMAC Key Derivation 特权提升漏洞（严重）
该漏洞的CVSSv3 评分为8.8，威胁者可以从低权限的Hyper-V guest 执行攻击，穿越guest 的安全边界，在Hyper-V 主机执行环境上执行代码。成功利用该漏洞可以获得SYSTEM 权限。
CVE-2023-36397：Windows Pragmatic General Multicast (PGM) 远程代码执行漏洞（严重）
该漏洞的CVSSv3 评分为9.8，当Windows 消息队列服务运行在PGM Server 环境中时，可以通过网络发送特制文件来实现远程代码执行。Windows 消息队列服务是Windows 组件（可以通过关闭该组件来缓解该漏洞），可以通过检查是否有名为Message Queuing 的服务在运行，以及计算机上是否侦听TCP 端口1801。
二、安全措施
目前微软已发布相关安全更新，建议受影响的用户尽快修复。
（一） Windows Update 自动更新
Microsoft Update 默认启用，当系统检测到可用更新时，将会自动下载更新并在下一次启动时安装。也可选择通过以下步骤手动进行更新：
1、点击“开始菜单”或按Windows 快捷键，点击进入“设置”
2、选择“更新和安全”，进入“Windows 更新”（Windows 8、Windows 8.1、Windows Server 2012 以及Windows Server 2012 R2 可通过控制面板进入“Windows 更新”，具体步骤为“控制面板”->“系统和安全”->“Windows 更新”）
3、选择“检查更新”，等待系统自动检查并下载可用更新。
4、更新完成后重启计算机，可通过进入“Windows 更新”->“查看更新历史记录”查看是否成功安装了更新。对于没有成功安装的更新，可以点击该更新名称进入微软官方更新描述链接，点击最新的SSU 名称并在新链接中点击“Microsoft 更新目录”，然后在新链接中选择适用于目标系统的补丁进行下载并安装。
（二） 手动安装更新
Microsoft 官方下载相应补丁进行更新。
2023 年11 月安全更新下载链接：
https://msrc.microsoft.com/update-guide/releaseNote/2023-Nov
