聚焦源代码安全，网罗国内外最新资讯！

近日，奇安信代码安全实验室的研究员为微软和Oracle 发现多个高危漏洞，其中为微软发现一个“重要”级别的漏洞(CVE-2020-1426)，为 Oracle 发现六个“高危”等级别的漏洞（CVE-2020-14698、CVE-2020-14699、CVE-2020-14700、CVE-2020-14707、CVE-2020-14714和CVE-2020-14715）。研究员第一时间向微软和 Oracle报告且协助它们修复漏洞。

北京时间2020年7月15日，微软和 Oracle 分别发布补丁更新公告以及致谢公告，公开致谢奇安信代码安全实验室研究人员。

图：微软官方致谢

图：Oracle 官方致谢

漏洞概述

CVE-2020-1426 – “重要”级别的Windows 内核信息泄露漏洞

当 Win32k 组件未能正确地处理内存对象时，就会造成信息泄露。攻击者如成功利用该漏洞，则可获取相关信息，进一步攻陷用户系统。经身份验证的攻击者可运行特殊构造的应用程序利用该漏洞，泄露内核内存信息。该漏洞影响Windows 10 和 Windows Server 2019、Windows Server（版本1903和2004）等多个版本。

CVE-2020-14698、CVE-2020-14699和CVE-2020-14700 – VM VirtualBox 整数溢出和越界读取漏洞

这些漏洞位于 OracleVirtualization 的Oracle VM VirtualBox 产品（Core组件）中，不仅影响 Oracle VM VirtualBox，而且还可能严重影响其它产品，可导致攻击者越权访问关键数据或完全访问所有 Oracle VM VirtualBox 的可访问数据，可能造成代码执行后果。这些漏洞影响的受支持版本均为5.2.44之前、6.0.24之前和6.1.12之前的版本。

CVE-2020-14707、CVE-2020-14714和CVE-2020-14715 – VM VirtualBox 拒绝服务漏洞

这些漏洞位于 OracleVirtualization 的Oracle VM VirtualBox 产品（Core组件）中，均易遭利用，可导致攻击者越权造成 Oracle VM VirtualBox 服务挂起或经常反复崩溃（完全的拒绝服务）。这些漏洞影响的受支持版本均为5.2.44之前、6.0.24之前和6.1.12之前的版本。

微软和Oracle已分别修复这些漏洞问题，用户应尽快予以更新。

参考链接

https://portal.msrc.microsoft.com/en-us/security-guidance/acknowledgments

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2020-1426

https://www.oracle.com/security-alerts/cpujul2020.html

https://www.oracle.com/security-alerts/cpujul2020verbose.html#OVIR

关于奇安信代码卫士

“奇安信代码卫士” 是奇安信集团旗下专注于软件源代码安全的产品线，代码卫士系列产品可支持 Windows、Linux、Android、Apple iOS、IBM AIX 等平台上的源代码安全分析，支持的编程语言涵盖 C、C++、C#、Objective-C、Java、JSP、JavaScript、PHP、Python、Go、区块链智能合约 Solidity 等。目前代码卫士已应用于上百家大型机构，帮助用户构建自身的代码安全保障体系，消减软件代码安全隐患。

关于奇安信代码安全实验室

奇安信代码安全实验室是奇安信代码卫士的研究团队，专门从事源代码、二进制漏洞挖掘和分析，主要研究方向包括：Windows / Linux / MacOS 操作系统、应用软件、开源软件、网络设备、IoT设备等。团队成员既有二进制漏洞挖掘高手、微软全球 TOP100 贡献白帽子、Pwn2Own 2017 冠军队员，又有开源软件安全大拿、人工智能安全专家。截至目前，奇安信代码安全实验室已经帮助微软、谷歌、苹果、Cisco、Juiper、VMware、Oracle、Linux内核组织、Adobe、阿里云、华为、施耐德、D-Link、ThinkPHP、以太坊、各种开源组织等修复了100多个安全漏洞，并获得官方致谢。

推荐阅读

奇安信代码卫士帮助微软修复多个高危漏洞，获官方致谢

奇安信代码卫士帮助微软修复多个高危漏洞，获官方致谢和奖金

奇安信代码卫士帮助微软修复多个高危漏洞，获官方致谢和奖金

奇安信代码卫士帮助微软修复Windows 内核漏洞，获官方致谢和奖金

奇安信代码卫士报送的漏洞获评“CNVD平台2019年度最具价值漏洞”

奇安信代码卫士帮助微软修复Edge浏览器和Windows内核高危漏洞，获官方致谢和奖金

奇安信代码卫士联合软件所帮助 Adobe 公司修复多个漏洞，获官方致谢

奇安信代码卫士研究员入选微软 MSRC 最具价值安全研究者榜单

奇安信代码卫士协助谷歌公司修复Chrome浏览器安全漏洞，获官方致谢

题图：Pixabay License

转载请注明“转自奇安信代码卫士 www.codesafe.cn”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

点个“在看”，bounty 不停~