微軟披露了一個(gè)存在于所有Windows版本的高危漏洞。建議所有Windows用戶(hù)，尤其是運(yùn)行網(wǎng)站的用戶(hù)應(yīng)盡快安裝微軟周二發(fā)布的補(bǔ)丁。

[[122684]]

據(jù)微軟的公告稱(chēng)，該高危漏洞存在于微軟的安全傳輸層協(xié)議(TLS)和安全套接層協(xié)議(SSL)中。因?yàn)樗荒苷_的過(guò)濾特殊形式的數(shù)據(jù)包，這就使得攻擊者可以向Windows服務(wù)器發(fā)送惡意流量遠(yuǎn)程執(zhí)行攻擊代碼。

Windows服務(wù)器

雖然公告中指出的漏洞主要針對(duì)的是Windows服務(wù)器，但是該遠(yuǎn)程代碼漏洞對(duì)類(lèi)Windows版本的服務(wù)器和客戶(hù)端也同樣很危險(xiǎn)，而且也有跡象表明它會(huì)對(duì)Windows臺(tái)式機(jī)和平板電腦造成威脅。Qualys的工程師 Amol Sarwate告訴 Ars稱(chēng)，如果用戶(hù)運(yùn)行了監(jiān)視網(wǎng)絡(luò)端口和接受加密鏈接的軟件，那么該漏洞就會(huì)使客戶(hù)端機(jī)器極易受到攻擊。例如，如果用戶(hù)電腦運(yùn)行的是Windows7系統(tǒng)，但安裝的卻是接受外部鏈接的FTP服務(wù)器或者是客戶(hù)端上的Web服務(wù)器，那么它就很有可能面臨被攻擊的風(fēng)險(xiǎn)。

TLS堆棧

從周二披露的漏洞中我們可以看出今年每個(gè)重要的TLS堆棧(包括蘋(píng)果secure transport、GNUTLS、OpenSSL、NSS和微軟SChannel)都存在嚴(yán)重的漏洞。我們知道有時(shí)候漏洞只會(huì)允許攻擊者繞過(guò)加密保護(hù)而不會(huì)造成太大的威脅，但是前段時(shí)間披露的OpenSSL中的heartbleed漏洞和周二打上補(bǔ)丁的Windows漏洞就不一樣了，攻擊者會(huì)利用它在受害者機(jī)器上竊取高度敏感信息并執(zhí)行惡意代碼。

微軟的公告中指出該漏洞沒(méi)有任何的緩和因素和變通方法。老版本和舊版本的Windows系統(tǒng)都有可能受到攻擊。公告中還指出，沒(méi)有證據(jù)表明野外漏洞利用程序是針對(duì)Windows用戶(hù)而開(kāi)發(fā)的。

建議

每個(gè)使用Windows電腦的用戶(hù)，尤其是運(yùn)行Web和e-mail服務(wù)器的用戶(hù)都需要立即安裝周二發(fā)布的補(bǔ)丁。為了您和家人的安全請(qǐng)主動(dòng)安裝補(bǔ)丁，不要風(fēng)險(xiǎn)運(yùn)行電腦!

參考來(lái)源：http://arstechnica.com