2023年4月安全更新程序（月度） | MSRC博客

日本安全团队
2023年4月11日 · 18分钟阅读

2023年4月11日（美国时间），微软发布了安全更新程序，修复了影响微软产品的漏洞。受影响产品的客户应尽快应用已发布的安全更新程序。请注意，除部分例外情况外，微软产品默认启用自动更新，安全更新程序会自动应用。最新信息请查看安全更新指南。

此外，本月的“恶意软件删除工具”新增了可删除的恶意软件家族。详细信息请参阅目标恶意软件家族。

安全更新和安全公告的主要注意事项

• 本月安全更新修复的漏洞中，CVE-2023-28252 Windows通用日志文件系统驱动器的特权提升漏洞已被确认存在利用行为。请注意，在安全更新发布时，此漏洞的详细信息尚未公开。客户应尽快应用更新程序。详情请参阅CVE-2023-28252。
• 本月安全更新修复的漏洞中，CVE-2023-28250 Windows Pragmatic General Multicast (PGM) 的远程代码执行漏洞和CVE-2023-21554 Microsoft Message Queuing的远程代码执行漏洞的CVSS基本值为9.8，评分较高，且无需认证或用户操作即可利用。有关存在这些漏洞的产品及利用条件，请参阅各CVE页面的“常见问题”。尽管在安全更新发布前未有漏洞信息公开或利用，但鉴于漏洞特性，建议企业组织尽快进行风险评估并应用安全更新。
• 安全更新中的已知问题请参阅各安全更新的支持技术信息。已知问题列表详见2023年4月安全更新发布说明。

2023年4月发布安全更新的产品和组件列表

2023年4月11日（美国时间）发布安全更新的产品及组件列表，请查看2023年4月安全更新发布说明。

2023年4月安全更新列表

2023年4月11日（美国时间）发布的安全更新列表如下。最新信息请查看安全更新指南。

现有漏洞信息更新

2023年4月11日（美国时间），更新了5个现有漏洞。

• CVE-2013-3900 WinVerifyTrust签名验证漏洞
  以下版本的Windows受此漏洞影响，因此在安全更新表中添加了Server Core安装版本：

  • Windows Server 2008 for 32-bit Systems Service Pack 2
  • Windows Server 2008 for x64-based Systems Service Pack 2
  • Windows Server 2008 R2 for x64-based Systems Service Pack 1
  • Windows Server 2012
  • Windows Server 2012 R2
  • Windows Server 2016
  • Windows Server 2019
  • Windows Server 2022
    安装这些Server Core的客户请查看本CVE的常见问题和推荐应对措施部分，并根据需要采取行动。

• CVE-2022-26923 Active Directory域服务特权提升漏洞
  微软宣布开始此漏洞修复的第二阶段。应用2023年4月更新后，禁用模式将被移除，无法通过设置注册表键在域控制器上启用禁用模式。详细信息和保护方法请参阅KB5014754 - Windows域控制器中基于证书的认证更改。

• CVE-2022-38023 Netlogon RPC特权提升漏洞
  微软宣布开始此漏洞修复的第二阶段。应用2023年4月更新后，无法将RequireSeal注册表子键设置为0以禁用RPC密封。包括计划中的强制阶段在内的详细信息，请参阅KB5021130：管理CVE-2022-38023相关Netlogon协议更改的方法。

• CVE-2022-43552 开源Curl远程代码执行漏洞
  微软宣布，针对所有受支持版本的Windows，2023年4月安全更新已可用以解决此漏洞：

  • Windows 10 version 1809
  • Windows 10 version 20H2
  • Windows 10 version 21H2
  • Windows 10 version 22H2
  • Windows 11 version 21H2
  • Windows 11 version 22H2
  • Windows Server 2019
  • Windows Server 2022
    强烈建议安装2023年4月更新以完全防护此漏洞。系统配置为自动更新的客户无需采取特殊措施。

• CVE-2022-34716 .NET欺骗漏洞
  更新安全更新表，以下版本的Visual Studio受此漏洞影响：

  • Visual Studio 2017 版本 15.9
  • Visual Studio 2019 版本 16.9
  • Visual Studio 2019 版本 16.11
  • Visual Studio 2022 版本 17.0
  • Visual Studio 2022 版本 17.2
    运行这些受支持版本Visual Studio的客户需安装2022年8月更新以防护此漏洞。已安装更新的客户无需进一步操作。

新安全公告发布

本月无新安全公告发布。

现有安全公告更新

本月无现有安全公告更新。

补充信息

• 最新服务堆栈更新（SSU）请查看公告ADV990001。
• Microsoft Edge（基于Chromium）的安全信息发布计划与月度发布不同，请在安全更新指南中选择Microsoft Edge（基于Chromium）产品或查看Edge安全发布信息。
• 各漏洞信息（CVE）页面可能包含缓解措施、变通方案、注意事项和常见问题等附加信息。应用安全更新前请一并查看。
• 最新信息请查看安全更新指南。安全更新指南支持按CVE、KB编号、产品或发布日期排序和筛选安全漏洞及更新信息。要筛选每月安全更新，请在日期范围中指定该月第二个星期二进行搜索。此外，可利用安全更新指南API创建自定义报告。我们发布了6个介绍API使用方法的视频（API信息（GitHub）、API访问、HTML文件输出、导出到Excel、获取CVE列表、获取KB列表），请务必利用。
• 安全更新指南有更新时，可接收通知。详情请参阅博客安全更新通知和交付改进 – 新交付方法。
• Office 2013支持终止
  2023年4月11日（美国时间），Office 2013、SharePoint Server 2013、Exchange Server 2013等Office相关产品支持已终止。支持终止产品列表请查看2023年支持终止。继续使用这些产品可能面临安全风险。使用支持终止产品的客户请考虑升级。详情请参阅Office 2013一年内支持终止。
• CVE-2022-37967 (KB5020805) 和CVE-2021-42291 (KB5008383) 修复部署阶段延期
  原定于2023年4月11日（美国时间）进行的以下漏洞修复部署阶段已延期：
  • CVE-2022-37967 (KB5020805)：第三部署阶段延期至2023年6月13日（美国时间）。
  • CVE-2021-42291 (KB5008383)：最终部署阶段延期。
    详情请查看各KB信息。

下一次安全更新发布计划于2023年5月9日（美国时间）。详情请查看年度计划。