近日，奇安信代码安全实验室的两名研究员为微软和 VMware 发现“重要”漏洞（CVE-2019-1228 和 CVE-2019-5527），第一时间报告且协助两家厂商修复漏洞。

北京时间2019年8月14日和2019年9月20日，微软和VMware 分别发布了补丁更新公告以及致谢公告，公开致谢奇安信代码安全实验室研究人员。

图1：微软官方致谢

图2：VMware 官方致谢

漏洞概述

“重要”级别的 CVE-2019-1228 — Windows 内核信息泄漏漏洞

当 Windows 内核不正确地处理内存对象时，就会触发信息泄漏问题。成功利用该漏洞的攻击者可获取信息，从进一步攻陷用户系统。

“重要”级别的 CVE-2019-5527 — 声卡设备的uaf漏洞

VMware 是全球最大的提供云计算和硬件虚拟化相关服务的软件厂商之一。CVE-2019-5527影响的产品包括：VMware ESXi、Workstation、Fusion、VMRC 和 Horizon Client。攻击者可能利用此漏洞在宿主机上实现任意代码执行，完成虚拟化逃逸攻击。

目前官方已发布补丁解决了这两个漏洞问题，用户应尽快予以更新。

参考链接

https://portal.msrc.microsoft.com/en-us/security-guidance/advisory/CVE-2019-1228https://www.vmware.com/security/advisories/VMSA-2019-0014.html

关于奇安信代码卫士

“奇安信代码卫士” 是奇安信集团旗下专注于软件源代码安全的产品线，代码卫士系列产品可支持 Windows、Linux、Android、Apple iOS、IBM AIX 等平台上的源代码安全分析，支持的编程语言涵盖 C、C++、C#、Objective-C、Java、JSP、JavaScript、PHP、Python、Go、区块链智能合约 Solidity 等。目前代码卫士已应用于上百家大型机构，帮助用户构建自身的代码安全保障体系，消减软件代码安全隐患。

关于奇安信代码安全实验室

奇安信代码安全实验室是奇安信代码卫士的研究团队，专门从事源代码、二进制漏洞挖掘和分析，主要研究方向包括：Windows / Linux / MacOS 操作系统、应用软件、开源软件、网络设备、IoT设备等。截至目前，奇安信代码安全实验室已经帮助谷歌、微软、苹果、Adobe、Cisco、Oracle、Linux内核组织、阿里云、D-Link、ThinkPHP、以太坊、各种开源组织等修复了100多个安全漏洞，并获得致谢。

推荐阅读

奇安信代码卫士帮助微软修复Edge浏览器和Windows内核高危漏洞，获官方致谢和奖金

奇安信代码卫士联合软件所帮助 Adobe 公司修复多个漏洞，获官方致谢

奇安信代码卫士研究员入选微软 MSRC 最具价值安全研究者榜单

奇安信代码卫士协助谷歌公司修复Chrome浏览器安全漏洞，获官方致谢

题图：Pixabay License

转载请注明“转自奇安信代码卫士 www.codesafe.cn”。