发现可远程执行任意代码后，微软重新标记 SPNEGO NEGOEX 漏洞为“关键”

图片地址：https://img.ithome.com/newsuploadfiles/2022/12/cd9f48b1-211b-4079-9d87-7583124c08a9.jpg?x-bce-process=image/watermark,image_aW1nL3dhdGVybWFyay9xYy9xYzIyMi5wbmc=,t_100,g_1,y_22,x_22,a_0/format,f_auto

IT之家 12 月 15 日消息，微软在今年 9 月发布的安全更新中，披露并修复了 SPNEGO NEGOEX（CVE-2022-37958）漏洞。在安全专家发现该漏洞还可以用于远程代码执行（RCE）之后，微软于今天将该漏洞标记为“关键”（critical）。IT之家了解到，黑客利用该漏洞可以利用 Server Message Block (SMB) 或者 Remote Desktop Protocol (RDP) 协议，在任意经过身份验证的 Windows 应用协议上访问 NEGOEX 协议，进而远程执行任意代码。当启用 SPNEGO 身份验证时，SPNEGO 还用于简单消息传输协议 (SMTP) 和超文本传输协议 (HTTP)。虽然微软现在将这个漏洞上调至“关键”，不过该漏洞在 CVSS 3.1 得分为 8.1（High），这是因为要利用这个漏洞非常复杂，而且需要经过多次尝试。幸运的是该漏洞的补丁在今年 9 月已经发布。