黑客利用IE關鍵bug,微軟承諾發布補丁

本文講的是 : 黑客利用IE關鍵bug,微軟承諾發布補丁 , 【IT168 資訊】9月22日消息，微軟今日表示，黑客們正利用存在於IE8與IE9之中尚未修複的某個關鍵性安全漏洞，目前公司的工程師們正在積極通過更新加以挽救。

　　與傳統處理方式一樣，微軟對此次威脅采取了淡化處理。

　　“報告中隻列舉了數量有限的幾條針對IE8與IE9的攻擊，不過該問題確實有可能影響所有IE版本，”Trustworthy Computing集團發言人Dustin Childs在上周二早晨的一篇博文中指出。

　　“我們正在積極開發安全更新，旨在解決這個問題，”Childs補充稱。

　　根據Childs以及今天微軟公布的安全谘文的說法，安全漏洞的影響麵涉及所有受支持IE版本，從12年前的IE6到目前尚未正式推出的IE11無一幸免——IE11瀏覽器直到今年10月18日才會隨Windows 8.1一同麵世。

　　“沒有任何一個版本能完全擺脫這次的安全威脅，”雲安全供應商CloudPassage公司DevOps主管Andrew Storms這樣描述漏洞對各微軟瀏覽器版本的廣泛影響。“IE中的零日漏洞絕不是好事，一旦影響所有版本、問題就變得更為嚴重。”

　　雖然微軟在安全谘文中並未說明，但該漏洞確實可以通過經典的“偷渡式”攻擊戰術加以利用。這意味著黑客們隻需要引導攻擊目標訪問惡意網站——或者已經遭到破壞並加載了攻擊代碼的合法網站——即可劫持其Windows設備上的瀏覽器並植入惡意內容。

　　在推出實際補丁之前，微軟公司向客戶們提出幾條自我保護建議，其中包括配置EMET 4.0、運行微軟的“Fixit”自動化工具從而為包含有IE渲染引擎的DLL文件提供“夾層”。

　　EMET(即增強減災體驗工具)是一款專為高級用戶打造的工具，主要幫助企業IT專業人士通過手動方式啟用反漏洞技術，例如針對特定應用的ASLR(地址空間布局隨機化)以及DEP(數據執行保護)。

　　不過Fixit才是最適合個人用戶的方案：微軟在Fixit工具的支持網站上提供了一條鏈接，客戶隻需要點擊圖標並將其標記為“啟用”即可。過去麵對其它意料之外的突發性攻擊活動時，微軟已經多次利用夾層方案保護IE安全。

　　根據以往慣例，微軟Fixit的解決辦法可能是利用應用程序兼容性工具包在每次啟動時在內存中對IE核心庫進行修改——所謂IE核心庫是一個名為“mshtml.dll”的DLL(動態鏈接庫)文件，其中包含瀏覽器的渲染引擎。夾層本身無法修正bug，隻是會讓瀏覽器對已經被微軟所發現的外部威脅免疫。

　　用戶也可以暫時舍棄IE、使用其它備用瀏覽器，例如穀歌的Chrome或者Mozilla的火狐，從而防止自己在微軟公布永遠性修複補丁之前遭受惡意攻擊。

　　微軟目前拒絕透露修複IE漏洞的具體時間，但現在距離下一輪“周二補丁日”隻有三周之遙，軟件巨頭的安全團隊很可能搶在10月9日之前公布所謂“計劃外”更新。

　　微軟其實很少公布計劃外更新：上一次發布的計劃外更新為MS13-008，發布於今年1月14日，旨在修複自2012年12月以來肆虐於IE6、IE7以及IE8瀏覽器之上的漏洞。

最後更新：2017-10-11 15:33:42