微软修复严重的浏览器漏洞和Stuxnet恶意软件漏洞

微软在本周二发布了17个安全公告，修复了被 Stuxnet恶意软件利用的零日漏洞，阻止攻击者以IE中的几个严重漏洞为攻击目标。

微软本月修复了40个产品漏洞，以及七个存在于客户端软件和服务器系统的严重漏洞（影响微软SharePoint Server和Exchange）。补丁专家表示额外的公告表明微软正在致力于提高它解决漏洞的效率。

Shavlik Technologies公司数据与安全团队领导Jason Miller说，今年微软发布的安全公告数（108个）也暗示安全厂商正在完善它们的进程。Miller表示虽然今年对微软来说是艰难的一年——微软今年发布了许多带外补丁，还发现了许多零日漏洞——但微软在其工程师团队以及补丁修复方面变得越来越透明了。

Miller表示，“微软已经在方法上有了很大的提高，我希望其他厂商能够看到这一点，并试图模仿微软的做法。”

在最近的更新中，微软修复了被Stuxnet木马利用的第四个零日漏洞。该恶意软件以其他的一些漏洞为目标来访问Windows系统，并使用Windows Task Scheduler中的一个漏洞来升级权限，以西门子监控和数据采集（SCADA）软件为攻击目标。微软将该漏洞定义为“重要”，并表示攻击者必须有有效的登录凭证，并且在本地登录才可利用该漏洞。

微软拦截了一些严重的IE漏洞。此公告解决五个影响IE所有版本的严重问题（Windows客户端和Windows服务器）。Sarwate表示最近微软受到越来越多地针对IE漏洞的攻击。

Sarwate说，“在中国和韩国，这些漏洞被利用的趋势在上升。”

微软Windows Open Type Font驱动中的一些严重漏洞也在本周被修复。微软表示攻击者可以在网络共享中托管OpenType font，诱使用户浏览它，自动触发Windows Explorer中的漏洞，“从而使这个定制的font完全控制受感染的系统。”对在Windows Vista、Windows Server 2008、Windows 7和Windows Server 2008上运行的OTF驱动来说，该安全更新被定义为“严重”。

此外，微软解决了Windows中微软和一些第三方应用程序预负载共享文件的方式中的一些漏洞。有些公告解决了媒体处理漏洞或DLL预负载错误。这些公告被定义为“重要”，解决客户端和服务器系统中的预负载漏洞。管理员应该部署该补丁，但是Qualys的Sarwate表示IT管理员可以应用DLL preloading fix来解决第三方Windows组件中的预负载错误。

另一个值得注意的安全公告修复了微软Office中的7个漏洞，攻击者可以远程利用这些漏洞以访问重要的系统文件或安装恶意软件。这些漏洞影响Microsoft Office Graphics Filters，可以被用来诱使用户打开一个恶意的图像文件。对Microsoft Works 9、Microsoft Office Converter Pack、Microsoft Office XP和Microsoft Office 2003来说，该公告被定义为“重要” 。

作者：Robert Westervelt

【编辑推荐】