K大俠贊曰：一洞天下知，七年始修補，網路多肉雞，其來有原由
微軟在本周二（11/11）的每月例行性更新中僅釋出兩個更新程式，總計修補四個安全漏洞。但其中有些漏洞年代久遠，漏洞被揭露迄今自兩年到七年不等。
兩個更新程式分別是MS08-069及MS08-068，前者被列為重大（critical）更新，修補三個XML Core Services漏洞；後者被列為重要（important）更新，修補微軟伺服器訊息區塊（Microsoft Server Message Block，SMB）協定。
MS08-069所修補的三個XML Core Services漏洞中，最嚴重的為記憶體損毀漏洞，在使用者利用IE瀏覽到惡意的網頁時，可能導致遠端程式攻擊。而此一漏洞是在去年1月就被揭露，只是微軟現在才修補。 XML Core Service的功能在於允許使用者可以利用JScript、VBScript及微軟的Visual Studio 6.0來開發以XML為基礎的應用程式，並可與其他相容於XML 1.0標準的應用程式互動，該功能存在於微軟作業系統以及其他非作業系統的微軟軟體中。 MS08-069更新修改了XML Core Services解析XML內容的方式，控制外部文檔類型定義（document type definitions，DTD）以及設置HTTP申請欄位等以解決可能的安全風險。 此一XML Core Services更新程式影響XML Core Services 3.0到6.0之間的版本，而且幾乎波及所有視窗作業系統，包括Windows 2000、Windows XP、Windows Server 2003、Windows Vista、Windows Server 2008，以及微軟的Office等。
MS08-068所修補的SMB協定漏洞可能讓駭客在受影響的系統上執行遠端程式，而這個漏洞是在7年前就被發現了。 根據微軟的說明，此一漏洞出現在當使用者連結到駭客的SMB伺服器時，SMB協定處理NTLM憑證的方式，該漏洞讓駭客可以再重現使用者的憑證並執行程式。 據了解，此一漏洞至少在7年前就被公開揭露了，而且早就有人撰寫程式來展示該漏洞。安全研究人員呼籲，雖然微軟此次僅發布兩個更新，但這兩個更新都值得企業儘快修補。（編譯/陳曉莉）
沒有留言:
張貼留言