2023年5月安全更新程序（月度）| MSRC博客
日本安全团队
2023年5月9日 · 19分钟阅读
2023年5月9日（美国时间），微软发布了安全更新程序，用于修复影响微软产品的安全漏洞。受影响产品的客户应尽快应用已发布的安全更新程序。请注意，除部分例外情况外，微软产品默认启用自动更新，安全更新程序将自动应用。最新信息请查看安全更新指南。
此外，本月的"恶意软件删除工具"新增了可由此工具删除的恶意软件。详细信息请参阅目标恶意软件家族。
安全更新程序、安全公告的主要注意事项
本月安全更新程序修复的漏洞中，以下漏洞在更新程序发布前已被确认存在公开利用或漏洞细节公开的情况。客户应尽快应用更新程序。漏洞详细信息请参阅各CVE页面。
- 确认被利用：CVE-2023-29336 Win32k特权提升漏洞
- 确认被公开：CVE-2023-29325 Windows OLE远程代码执行漏洞
- 确认被利用和公开：CVE-2023-24932 安全启动安全功能绕过漏洞
本月安全更新程序修复的漏洞中，CVE-2023-24932 安全启动安全功能绕过漏洞需要除应用更新程序外执行额外步骤以保护系统免受漏洞影响。详细信息请参阅CVE-2023-24932以及CVE-2023-24932相关安全启动管理器更改指南。
本月安全更新程序修复的漏洞中，CVE-2023-24881 Microsoft Teams信息泄露漏洞需要除升级Teams版本外执行额外步骤以保护系统免受漏洞影响。详细信息请参阅CVE-2023-24881。
本月安全更新程序修复的漏洞中，CVE-2023-24943 Windows Pragmatic General Multicast (PGM)远程代码执行漏洞和CVE-2023-24941 Microsoft网络文件系统远程代码执行漏洞的CVSS基础值为9.8分，属于高分漏洞，可在无需认证或用户操作的情况下被利用。存在这些漏洞的产品及可利用条件请参阅各CVE页面的"常见问题"。虽然在安全更新程序发布前未有漏洞信息公开或利用，但鉴于漏洞特性，建议企业组织尽快进行风险评估并应用安全更新程序。
本月安全更新程序修复的漏洞中，关于CVE-2023-29324 Windows MSHTML Platform安全功能绕过漏洞，博客微软缓解Outlook特权提升漏洞已更新。使用Windows版Microsoft Outlook的客户请查看博客内容。
安全更新程序的已知问题请参阅各安全更新程序的支持技术信息。已知问题的各安全更新程序支持技术信息列表刊登在2023年5月安全更新程序发行说明中。
[提醒] 关于2023年6月及以后计划的Windows安全强化
如已公告，为保护系统免受漏洞影响，2023年6月及以后的Windows更新程序将逐步启用安全强化设置。计划更改内容及日程请参阅最新Windows强化指南和关键日期。
2023年5月发布安全更新程序的产品、组件列表
2023年5月9日（美国时间）发布安全更新程序的产品及组件列表，请查看2023年5月安全更新程序发行说明。
2023年5月安全更新程序列表
2023年5月9日（美国时间）发布的安全更新程序列表如下。
最新信息请查看安全更新指南。
| 产品系列 | 最高严重等级 | 最大影响 | 相关支持技术信息或支持网页 |
|---|---|---|---|
| Windows 11 v21H2 及 v22H2 | 严重 | 远程代码执行 | v22H2 5026372 v21H2 5026368 |
| Windows 10 v22H2, v21H2, 及 v20H2 | 严重 | 远程代码执行 | 5026361 |
| Windows Server 2022 (含Server Core安装) | 严重 | 远程代码执行 | 5026370 Hotpatch 5026456 |
| Windows Server 2019, 2016 (含Server Core安装) | 严重 | 远程代码执行 | Windows Server 2019 5026362 Windows Server 2016 5026363 |
| Windows Server 2012 R2, Windows Server 2012 (含Server Core安装) | 严重 | 远程代码执行 | Windows Server 2012 R2 月度汇总 5026415 仅安全 5026409 Windows Server 2012 月度汇总 5026419 仅安全 5026411 |
| Microsoft Office | 重要 | 远程代码执行 | https://learn.microsoft.com/officeupdates |
| Microsoft SharePoint | 严重 | 远程代码执行 | https://learn.microsoft.com/officeupdates/sharepoint-updates |
| Microsoft Visual Studio | 重要 | 信息泄露 | https://learn.microsoft.com/visualstudio |
| Windows Sysmon | 重要 | 特权提升 | https://learn.microsoft.com/sysinternals |
| Microsoft Remote Desktop | 重要 | 信息泄露 | https://learn.microsoft.com/azure/virtual-desktop/whats-new-client-windows |
现有漏洞信息更新
2023年5月9日（美国时间），更新了14个现有漏洞。
| CVE | 更改内容 |
|---|---|
| CVE-2021-28452 Microsoft Outlook内存损坏漏洞 | 修正了"安全更新程序"列表中的资料链接。此为仅信息变更。 |
| CVE-2013-3900 WinVerifyTrust签名验证相关漏洞 | 在此安全信息页面的"概述"中，修正了关于Windows 10和Windows 11的信息。注明由于Windows 10和Windows 11发布时已包含此注册表键的支持代码，无需应用安全更新程序，但需要设置注册表键。此为仅信息变更。 |
| CVE-2022-29900 AMD: CVE-2022-29900 MD CPU分支类型混淆 | 此文档最初与CVE-2022-23816相关。由于同一漏洞相关的另一个CVE被CNA正式拒绝分配，因此更新此文档以引用CVE-2022-29900。此为仅信息变更。 |
| CVE-2022-26928 Windows照片导入API特权提升漏洞 | 为全面解决CVE-2022-26928，微软发布了2023年5月安全更新程序，适用于所有受影响版本的Microsoft Windows。强烈建议安装此更新程序以完全保护系统免受此漏洞影响。配置为接收自动更新的客户无需采取特殊措施。 |
| CVE-2022-41104 Microsoft Excel安全功能绕过漏洞 | 更新了一个或多个受影响产品的CVSS分数。此为仅信息变更。 |
| CVE-2023-21738 Microsoft Office Visio远程代码执行漏洞 | 更新了一个或多个受影响产品的CVSS分数。此为仅信息变更。 |
| CVE-2023-21779 Visual Studio Code远程代码执行漏洞 | 更新了一个或多个受影响产品的CVSS分数。此为仅信息变更。 |
| CVE-2023-23383 Service Fabric Explorer冒充漏洞 | 添加了FAQ信息。此次更新仅为信息变更。 |
| CVE-2023-23396 Microsoft Excel拒绝服务漏洞 | 添加了FAQ信息。此次更新仅为信息变更。 |
| CVE-2023-23398 Microsoft Excel冒充漏洞 | 更新了FAQ信息。此为仅信息变更。 |
| CVE-2023-24858 Microsoft PostScript及PCL6类打印机驱动程序信息泄露漏洞 | 更新了一个或多个受影响产品的CVSS分数。此为仅信息变更。 |
| CVE-2023-24911 Microsoft PostScript及PCL6类打印机驱动程序信息泄露漏洞 | 更新了一个或多个受影响产品的CVSS分数，并添加了说明分类设置的FAQ。此为仅信息变更。 |
| CVE-2023-24892 Microsoft Edge (基于Chromium) Webview2冒充漏洞 | 更新了一个或多个受影响产品的CVSS分数，并添加了说明分类设置的FAQ。此为仅信息变更。 |
| CVE-2022-41121 Windows图形组件特权提升漏洞 | 由于Windows桌面版远程桌面客户端不受此漏洞影响，已从安全更新程序表中删除。此为仅信息变更。 |
新安全公告发布
本月未发布新的安全公告。
现有安全公告更新
本月未更新现有安全公告。
补充信息
- 最新服务堆栈更新程序(SSU)请查看公告ADV990001。
- Microsoft Edge（基于Chromium）的安全信息发布计划与月度发布不同，请在安全更新指南中选择产品Microsoft Edge（基于Chromium）进行查看，或查看Edge安全发布信息。
- 各漏洞信息(CVE)页面可能包含缓解措施、规避措施、注意事项及常见问题等附加信息。应用安全更新程序前请一并查看。
- 最新信息请查看安全更新指南。安全更新指南中可按CVE、KB编号、产品或发布日期排序和筛选安全漏洞及更新程序信息。筛选每月安全更新程序时，请指定每月第二个星期二作为日期范围进行搜索。此外，可利用安全更新指南API创建自定义报告。我们公开了6个介绍API使用方法的视频（API信息(GitHub)、访问API、输出HTML文件、导出到Excel、获取CVE列表、获取KB列表），请务必加以利用。
- 安全更新指南有更新时，可接收通知。详细信息请参阅博客安全更新程序通知/交付的改进–关于新交付方法。
下次安全更新程序发布计划于2023年6月13日（美国时间）。详细信息请查看年度日程。
补充信息
- 2023年5月10日 发布此博客。
- 2023年5月10日 因发布了CVE-2023-24932和CVE-2023-29324的日语翻译版博客，更新了此博客内的链接。