微软：PowerShell 命令行工具存在 RCE 漏洞，请尽快修复
编译：奇安信代码卫士
微软正在督促 Azure 用户尽快更新 PowerShell 命令行工具，修复影响 .NET Core 的严重的远程代码执行漏洞。
该漏洞的编号是 CVE-2021-26701（CVSS 评分8.1），影响 PowerShell 版本7.0和7.1，且已分别在版本7.0.6和7.1.3中修复。Windows PowerShell 5.1 不受影响。
PowerShell 构建在 .NET Common Language Runtime (CLR) 基础之上，是一款跨平台任务自动化工具，由一个命令行 shell、一种脚本语言以及一个配置管理框架构成。
微软在今天4月份发布的安全公告中指出，“.NET 5 和 .NET Core 中因文本编码的执行方式原因，存在一个远程代码执行漏洞。”公告指出该漏洞存在于 “System.Text.Encodings.Web“程序包中，而该程序包提供用于在 JavaScript、HTML和 URLs 中编码和逃逸字符串的类型。
System.Text.Encodings.Web 版本 4.0.0 - 4.5.0 — 在版本4.5.1中修复
System.Text.Encodings.Web 版本4.6.0 - 4.7.1 — 在版本4.7.2中修复
System.Text.Encodings.Web 版本5.0.0 — 在版本5.0.1 中修复
微软最初在2021年2月的补丁星期二中修复了该漏洞（CVE-2021-26701）。鉴于目前尚不存在缓解措施，因此强烈建议用户更新至最新版本。
PowerShell Empire 框架使命已达，停止开发维护
Windows DWrite 组件 RCE 漏洞 (CVE-2021-24093) 分析
https://thehackernews.com/2021/07/microsoft-urges-azure-users-to-update.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的
产品线。