2024年12月安全更新程序（月度）| MSRC博客
Microsoft安全响应中心
2024年12月10日（美国时间），微软发布了安全更新程序，以修复影响微软产品的漏洞。受影响产品的用户应尽快应用这些安全更新。请注意，除少数例外，微软产品默认启用自动更新，安全更新将自动应用。最新信息请查看安全更新指南。
本月“恶意软件删除工具”未添加新的应对家族。
安全更新和安全公告的主要注意事项
本月安全更新修复的漏洞中，以下漏洞在更新发布前已被利用或详细信息已公开。用户应尽快应用更新。漏洞详情请参阅各CVE页面。
- CVE-2024-49138：Windows通用日志文件系统驱动器的特权提升漏洞
本月安全更新修复的漏洞中，CVE-2024-49112（Windows轻量级目录访问协议（LDAP）远程代码执行漏洞）的CVSS基本值为9.8，属于高分漏洞，无需认证或用户操作即可被利用。受影响产品及利用条件请参阅各CVE页面的“常见问题”。尽管漏洞信息在更新发布前未公开或未被利用，但鉴于其特性，企业组织应尽快进行风险评估并应用安全更新。
安全更新的已知问题请参阅各安全更新的支持技术信息。已知问题的支持技术信息列表载于2024年12月安全更新发布说明。
2024年12月发布安全更新的产品和组件列表
2024年12月10日（美国时间）发布安全更新的产品及组件列表，请查看2024年12月安全更新发布说明。
2024年12月安全更新列表
2024年12月10日（美国时间）发布的安全更新列表如下。最新信息请查看安全更新指南。
| 产品系列 | 最大严重性 | 最大影响 | 相关支持技术信息或支持网页 |
|---|---|---|---|
| Windows 11 v24H2, v23H2, v22H2 | 紧急 | 远程代码执行 | v24H2 5048667, v24H2 HotPatch 5048794, v23H2/v22H2 5048685 |
| Windows 10 v22H2 | 紧急 | 远程代码执行 | 5048652 |
| Windows Server 2025（含Server Core安装） | 紧急 | 远程代码执行 | 5048794 |
| Windows Server 2022, 23H2（含Server Core安装） | 紧急 | 远程代码执行 | Windows Server 2022 5048654, Windows Server 2022 HotPatch 5048800, Windows Server 23H2 5048653 |
| Windows Server 2019, 2016（含Server Core安装） | 紧急 | 远程代码执行 | Windows Server 2019 5048661, Windows Server 2016 5048671 |
| Remote Desktop Client | 紧急 | 远程代码执行 | 远程桌面服务 |
| Microsoft Office | 重要 | 远程代码执行 | Office更新 |
| Microsoft SharePoint | 重要 | 远程代码执行 | SharePoint更新 |
| System Center | 重要 | 特权提升 | System Center |
现有漏洞信息更新
2024年12月10日（美国时间），更新了5个现有漏洞。
-
CVE-2023-38171：Microsoft QUIC服务拒绝漏洞
微软于2023年10月24日发布了受影响所有版本的.NET和Microsoft Visual Studio的安全更新，以全面应对此漏洞。建议运行这些产品的用户安装更新以获得完全保护。已启用自动更新的用户无需额外操作。 -
CVE-2023-36435：Microsoft QUIC服务拒绝漏洞
微软于2023年10月24日发布了.NET 7.0的安全更新，以全面应对此漏洞。建议运行.NET的用户安装更新以获得完全保护。 -
CVE-2023-44487：MITRE: CVE-2023-44487 HTTP/2 Rapid Reset攻击
微软于2023年10月24日发布了受影响所有版本的.NET和Microsoft Visual Studio的安全更新，以全面应对此漏洞。建议运行这些产品的用户安装更新以获得完全保护。已启用自动更新的用户无需额外操作。 -
CVE-2024-38033：PowerShell特权提升漏洞
微软于2024年12月10日发布了受影响所有版本的Windows Server 2012和Windows Server 2012 R2的安全更新，以全面应对此漏洞。建议运行这些产品的用户安装更新以获得完全保护。已启用自动更新的用户无需额外操作。 -
CVE-2024-43583：Winlogon特权提升漏洞
在“安全更新”表中进行了以下更改：- 添加了受此漏洞影响的Windows Server 2025。
微软于2024年12月发布了支持的所有Windows版本的安全更新，以全面应对此漏洞。建议用户安装更新以获得完全保护。已启用自动更新的用户无需额外操作。
- 添加了受此漏洞影响的Windows Server 2025。
新安全公告发布
2024年12月10日（美国时间），发布了1个新公告。
- ADV240002：Microsoft Office多层防御功能更新
微软发布了Microsoft Office的更新程序，作为多层防御措施以增强安全性。
现有安全公告更新
本月没有更新现有安全公告。
补充信息
- 最新服务堆栈更新（SSU）请查看公告ADV990001。
- Microsoft Edge（基于Chromium）的安全信息发布计划与月度发布不同，请在安全更新指南中选择Microsoft Edge（基于Chromium）查看，或参阅Edge安全发布信息。
- 各漏洞信息（CVE）页面可能包含缓解措施、规避措施、注意事项和常见问题等附加信息。应用安全更新前请一并查看。
- 最新信息请查看安全更新指南。安全更新指南允许按CVE、KB编号、产品或发布日期排序和筛选漏洞及更新信息。要筛选每月安全更新，请在日期范围中指定该月第二个星期二进行搜索。此外，可利用安全更新指南API创建自定义报告。我们发布了6个视频介绍API使用方法（API信息、访问API、输出HTML文件、导出到Excel、获取CVE列表、获取KB列表），请务必利用。
- 微软更新了安全更新新信息和更新信息的通知方式，以确保用户及时接收。尚未订阅或仅通过电子邮件接收通知的用户，请通过以下方式之一注册：
- 通知方法1：创建配置文件：安全更新指南通知系统
- 通知方法2：通过RSS订阅：安全更新通知与交付改进
下次安全更新计划于2025年1月14日（美国时间）发布。详情请参阅年度计划。