开头：至顶网国产 巨乳

微软发布了2025年终末一个补丁星期二更新，诞生了71个新的通用破绽和清楚（CVE）。其中一个零日破绽通过Windows通用日记文献系统驱动步调扫尾特权擢升，成为本次更新的焦点。

这个被分派为CVE-2024-49138的破绽由CrowdStrike高档照管团队发现，源于堆缓冲区溢出，挫折者不错哄骗欠妥的界限搜检来遮蔽堆中的内存。

挫折者不错相对容易地哄骗这个破绽扩展随性代码并取得系统级权限，从而进行更深刻和影响更大的挫折，如绑架软件。微软默示照旧不雅察到CVE-2024-49138在旷野被哄骗。

补丁治理各人Action1的总裁兼聚积首创东谈主Mike Walters诠释注解说："CLFS驱动步调是Windows的中枢组件，应用步调用它来写入事务日记。这个破绽通过主宰驱动步调的内存治理，扫尾未经授权的特权擢升，最终取得系统级访谒权限 —— Windows中的最高权限。取得系统权限的挫折者不错扩展诸如禁用安全保护、窃取明锐数据或装配抓久性后门等操作。"

Walters诠释注解说，任何使用程序CLFS组件的Windows系统（可讲究到2008年）都容易受到这个破绽的影响，若是不连忙处置，可能会在企业环境中酿成潜在的难题。

Ivanti安全产物副总裁Chris Goettl默示："已阐述该破绽在旷野被哄骗，而且联系破绽的一些信息已公开线路，但这些线路可能不包括代码样本。微软将这个CVE评为要紧，其CVSSv3.1评分为7.8。基于风险的优先级会将这个破绽评为严重，这使得本月的Windows操作系统更新成为你的首要任务。"

要道问题国产 巨乳

Zero Day Initiative的Dustin Childs不雅察到，2024年微软在12个月内推出了1000多个破绽诞生，是继2020年之后第二高的数目。2024年12月的更新以16个严重破绽的高数目而引东谈主纯粹，这些破绽无一例外都会导致费力代码扩展（RCE）。

这些破绽中，有9个影响Windows费力桌面做事，3个存在于Windows轻量级目次访谒条约（LDAP），2个在Windows音讯队伍（MSMQ），以及各1个区别在Windows腹地安全机构子系统做事（LSASS）和Windows Hyper-V中。

其中，Windows LDAP中的CVE-2024-49112可能需要最密切暖和，它的CVSS评分高达9.8，影响统共从Windows 7和Server 2008 R2以来的Windows版块。若是不处置，未经身份考证的挫折者不错在底层做事器上扫尾RCE。

LDAP时时在充任Windows收集结的域拆除器的做事器上使用，为了使域普通脱手，需要将此功能清楚给环境中的其他做事器和客户端。

Immersive Labs首席安全工程师Rob Reeves诠释注解谈："微软默示挫折复杂度较低，且不需要身份考证。此外，他们提议立即罢手通过互联网或不受信任的收集清楚这项做事。挫折者不错对LDAP做事进行一系列全心想象的调用，并在该做事的凹凸文中取得访谒权限，该做事将以系统权限脱手。"

"由于机器帐户的域拆除器情景，评估合计这将立即允许挫折者获取域内统共字据哈希的访谒权限。还评估合计，挫折者只需在域内的Windows主机上取得低特权访谒权限或在收集结取得安身点，就不错哄骗这项做事 —— 从而皆备拆除域。"

Reeves告诉《野情绪周刊》，威迫看成者，很是是绑架软件团伙，将在改日几天积极尝试为这个破通达辟哄骗步调，因为在Active Directory环境中皆备拆除域拆除器不错让他们访谒该域上的每台Windows机器。

他训导说："使用带有域拆除器的Windows收集的环境应该遑急修补这个破绽，并确保积极监控域拆除器是否有被哄骗的迹象。"

终末

终末，本月有一个鲜为东谈主知的破绽值得暖和，那即是Microsoft Muzic中被跟踪为CVE-2024-49063的破绽。

Ivanti的Goettl不雅察到："Microsoft Muzic AI名目很道理。CVE-2024-49063是Microsoft Muzic中的一个费力代码扩展破绽。要处置这个问题，开辟东谈主员需要从GitHub获取最新版正本更新他们的扫尾。"

这个破绽源于不受信任数据的反序列化，若是挫折者卤莽创建坏心负载来扩展，就会导致费力代码扩展。

关于不老到这个项野心东谈主来说国产 巨乳，Microsoft Muzic是一个正在进行的照管名目，旨在使用东谈主工智能（AI）来相识和生成音乐。该项野心一些功能包括自动歌词转录、歌曲写稿和歌词生成、伴奏生成和歌声合成。