微软2020年5月的安全更新修补了111个漏洞，其中包括16个被评为严重的漏洞，但这些漏洞均未在攻击中加以利用或在发布修补程序之前被披露。

本月修补的关键漏洞影响了Edge和Internet Explorer Web浏览器，Windows，SharePoint和Visual Studio，并且可以利用这些漏洞进行远程代码执行或特权升级。

其余的安全漏洞被评为重要，会影响.NET，Windows，Edge，Internet Explorer，Office，Visual Studio和Power BI Report Server，它们可能导致DoS攻击，权限提升，远程执行代码，XSS攻击，欺骗攻击和信息泄露。

5月份，Microsoft针对111个CVE的发布补丁，涉及产品覆盖Microsoft Windows、Microsoft Edge、ChakraCore、Internet Explorer、Microsoft Office和Microsoft Office Services和Web Apps、Visual Studio、Microsoft Dynamics、.NET Framework、.NET Core和Power BI。在这111个CVE中，严重等级为16级，重要等级为95级。

- CVE-2020-1071 - Windows远程特权漏洞访问

攻击者需要在系统处并将其启动到登录屏幕。如果他们能够做到这一点，他们可以利用“远程访问公共对话框”中的错误运行具有提升权限的任意代码。对于具有开放式办公室且经常进行随意物理访问的地方，此错误将更为严重，也就是说利用该漏洞前提是突破物理访问。由此，我们也应该理解在你的数据资产能够调动相应对手攻击时，你被攻击则是全方位的。在网络安全评估及等级保护测评中，其中就有物理环境安全，这个漏洞就凸显了物理环境安全测评的重要性。

- CVE-2020-1135 -特权漏洞的Windows图形组件

这个漏洞在Pwn2Own（黑客大赛）来自Richard Zhu和Amat Cama的Fluoroacetate通过虚拟方式验证，允许登录的用户通过运行经特殊设计的程序来接管系统。他们利用Windows中的（UAF）错误将普通用户权限提升为SYSTEM权限。

- CVE-2020-1067- Windows远程代码执行漏洞

补丁修正Windows操作系统的RCE错误，允许攻击者对受影响的系统提升的权限执行任意代码。攻击者需要一个域用户帐户才能成功执行其特制请求。该漏洞成为内部威胁的主要目标，若是做渗透测试，这个漏洞则需要在内部发起。

- CVE-2020-1118 -Microsoft Windows传输层安全拒绝服务漏洞

未经认证的攻击者异常重启，从而导致拒绝服务。Windows的Diffie-Hellman协议实现中存在NULL指针取消引用漏洞。攻击者利用此漏洞可以通过在TLS握手期间发送恶意的客户端密钥交换消息。该漏洞同时影响TLS客户端和TLS服务器，攻击者几乎可以关闭任何系统，成功利用都会导致lsass.exe进程终止。

有关漏洞其他信息，您也可以登录微软官网，进入微软官网“安全更新指南”了解详情。

老生常谈，微软官方本月再次发布大量漏洞修复补丁，建议用户及时确认是否受到漏洞影响，并采取修补措施。