微軟修復(fù)嚴(yán)重的瀏覽器漏洞和Stuxnet惡意軟件漏洞
微軟在本周二發(fā)布了17個安全公告，修復(fù)了被 Stuxnet惡意軟件利用的零日漏洞，阻止攻擊者以IE中的幾個嚴(yán)重漏洞為攻擊目標(biāo)。
微軟本月修復(fù)了40個產(chǎn)品漏洞，以及七個存在于客戶端軟件和服務(wù)器系統(tǒng)的嚴(yán)重漏洞（影響微軟SharePoint Server和Exchange）。補丁專家表示額外的公告表明微軟正在致力于提高它解決漏洞的效率。
Shavlik Technologies公司數(shù)據(jù)與安全團隊領(lǐng)導(dǎo)Jason Miller說，今年微軟發(fā)布的安全公告數(shù)（108個）也暗示安全廠商正在完善它們的進(jìn)程。Miller表示雖然今年對微軟來說是艱難的一年——微軟今年發(fā)布了許多帶外補丁，還發(fā)現(xiàn)了許多零日漏洞——但微軟在其工程師團隊以及補丁修復(fù)方面變得越來越透明了。
Miller表示，“微軟已經(jīng)在方法上有了很大的提高，我希望其他廠商能夠看到這一點，并試圖模仿微軟的做法?！?/p>
在最近的更新中，微軟修復(fù)了被Stuxnet木馬利用的第四個零日漏洞。該惡意軟件以其他的一些漏洞為目標(biāo)來訪問Windows系統(tǒng)，并使用Windows Task Scheduler中的一個漏洞來升級權(quán)限，以西門子監(jiān)控和數(shù)據(jù)采集（SCADA）軟件為攻擊目標(biāo)。微軟將該漏洞定義為“重要”，并表示攻擊者必須有有效的登錄憑證，并且在本地登錄才可利用該漏洞。
微軟攔截了一些嚴(yán)重的IE漏洞。此公告解決五個影響IE所有版本的嚴(yán)重問題（Windows客戶端和Windows服務(wù)器）。Sarwate表示最近微軟受到越來越多地針對IE漏洞的攻擊。
Sarwate說，“在中國和韓國，這些漏洞被利用的趨勢在上升?！?/p>
微軟Windows Open Type Font驅(qū)動中的一些嚴(yán)重漏洞也在本周被修復(fù)。微軟表示攻擊者可以在網(wǎng)絡(luò)共享中托管OpenType font，誘使用戶瀏覽它，自動觸發(fā)Windows Explorer中的漏洞，“從而使這個定制的font完全控制受感染的系統(tǒng)?！睂υ赪indows Vista、Windows Server 2008、Windows 7和Windows Server 2008上運行的OTF驅(qū)動來說，該安全更新被定義為“嚴(yán)重”。
此外，微軟解決了Windows中微軟和一些第三方應(yīng)用程序預(yù)負(fù)載共享文件的方式中的一些漏洞。有些公告解決了媒體處理漏洞或DLL預(yù)負(fù)載錯誤。這些公告被定義為“重要”，解決客戶端和服務(wù)器系統(tǒng)中的預(yù)負(fù)載漏洞。管理員應(yīng)該部署該補丁，但是Qualys的Sarwate表示IT管理員可以應(yīng)用DLL preloading fix來解決第三方Windows組件中的預(yù)負(fù)載錯誤。
另一個值得注意的安全公告修復(fù)了微軟Office中的7個漏洞，攻擊者可以遠(yuǎn)程利用這些漏洞以訪問重要的系統(tǒng)文件或安裝惡意軟件。這些漏洞影響Microsoft Office Graphics Filters，可以被用來誘使用戶打開一個惡意的圖像文件。對Microsoft Works 9、Microsoft Office Converter Pack、Microsoft Office XP和Microsoft Office 2003來說，該公告被定義為“重要” 。
作者：Robert Westervelt
【編輯推薦】
