Office 0Day漏洞攻击仍肆虐 已有近1%中文网站被“挂马”

美国当地时间7月14日下午 北京时间7月15日凌晨，微软今天向全球用户发布了7月份安全更新公告，共提供了6个漏洞补丁。其中3个为危害程度最高的“危险”级别，3个为“严重”级别。正饱受攻击的“MPEG-2视频漏洞”在本次更新中得到修复，而新近曝出的“Office内存破坏”漏洞暂未发布补丁。360安全中心最新监控数据显示，这两个漏洞自7月4日起已导致近7000万人次遭受“挂马”攻击。

据悉，在等级为“危险”的漏洞补丁中，除“MPEG-2视频漏洞”（MS09-032）外，今年5月曾受黑客攻击的“DirectShow视频漏洞”（MS09-029）也得到了修复，由于该漏洞信息由360安全中心率先向微软通报，微软在安全更新公告中对360安全中心公开致谢。这也是国内面向个人用户的安全厂商首次出现在微软漏洞补丁的致谢名单中。

360安全专家表示，用户可通过360安全卫士第一时间下载安装这6个补丁，但由于“Office内存破坏”漏洞尚未修复，而且正在被“挂马网页”大规模利用攻击，网民仍不可掉以轻心，浏览网页时应开启360“网页防火墙”等有效防护措施，或使用360安全浏览器自动拦截木马入侵。

据360安全中心统计，目前已有超过20000家网站被黑客利用“MPEG-2视频漏洞”及“Office内存破坏漏洞”挂马，在中文网站中接近1%的比例，甚至出现了36家政府网站、41家高校网站集体被挂马的现象。鉴于网络攻击事件频繁发生，公安部网络安全保卫局从今日开始也将全面普查国内网络安全状况。

附：微软安全更新公告有关Directshow视频漏洞补丁的相关信息，仅供参考：
http://www.microsoft.com/technet/security/bulletin/MS09-028.mspx

微软安全公告 MS09-028 – 危险
微软DirectShow的漏洞可以允许远程执行（971633）
发布时间：2009年7月14日
版本：1.0

一般信息

摘要

这个安全补丁解决了微软DirectShow中包含的一个被公开泄露的漏洞以及两个秘密上报给微软的漏洞。如果用户打开一个特殊构造的QuickTime媒体文件时，这些漏洞可以允许远程代码执行。成功利用上述任何一个漏洞的攻击者可以获得与本地用户同样的权限。因此那些具有较少系统权限的用户账户所受到的影响要小于以系统管理员权限运行的用户。

本安全补丁在微软Windows 2000, Windows XP以及Windows Server 2003的所有版本上均被评估为危险。更多信息，参见下面的“受影响及未受影响的软件”部分。

通过修正DirectShow中解析QuickTime媒体文件以及验证QuickTime媒体文件中指针值及大小字段的方法，本安全补丁修复了上述漏洞。关于上述漏洞的更多信息，请参看下一节中特定漏洞的FAQ部分。

本安全补丁也修复了微软971778号安全建议中所首次描述的漏洞。

安全建议：大部分用户由于启用了补丁的自动更新，因此没有必要采取任何行动，因为这个补丁将会自动下载和安装。没有启用补丁自动更新的用户需要手动地检查更新并安装这一补丁。关于补丁自动更新的配置选项，请参看微软的知识库294871号文章。

对于系统管理员和企业用户，或者希望手动安装本补丁的用户，微软建议用户立即使用补丁管理软件安装此补丁，或者通过微软的补丁更新服务检查补丁。

请参见本公告后面的“检测、部署工具及其指南”部分。

已知问题：微软知识库971633号文章记录了目前用户在安装此安全补丁时可能碰到的已知的问题。该文也同时也说明了如何解决这些问题。

受影响和未受影响的软件
(受影响的详细软件清单参见微软公告)
总结如下：

受影响的操作系统包括：Windows 2000 SP4、Windows XP SP2、Windows XP SP3、Windows XP Professional x64 Edition SP2、Windows Server 2003 SP2、Windows Server 2003 x64 Edition SP2、基于Itanium 的Windows Server 2003 SP2。
受影响的软件包括：DirectX 7.0、DirectX 8.1、DirectX 9.0

未受影响的软件操作系统包括：
Windows Vista, Windows Vista SP1, Windows Vista SP2
Windows Vista x64 Edition, Windows Vista x64 Edition SP1, Windows Vista x64 Edition SP2
32位Windows Server 2008和32位Windows Server 2008 SP2
64位Windows Server 2008 和 64位Windows Server 2008 SP2
基于Itanium的Windows Server 2008 和 基于Itanium的Windows Server 2008 SP2

关于DirectX NULL 字节写入覆盖漏洞(CVE-2009-1537)

微软DirectShow在解析QuickTime媒体文件的方法中存在该远程代码执行漏洞。如果用户打开一个经过特殊构造的QuickTime媒体文件，该漏洞允许远程代码执行。如果用户是以管理员身份登录，则攻击者利用此漏洞可以成功获得受影响系统的完整控制权，由此攻击者可以安装程序，查看、改变或删除数据，或者创建拥有全部权限的新账号。那些具有较少系统权限的用户账户所受到的影响要小于以系统管理员权限运行的用户。

致谢

微软向以下与我们一同工作以保护用户的个人或公司致谢：
• SkyRecon 的Thomas Garnier 和 360安全中心的郑文斌、刘起、宋申雷向微软汇报了DirectX NULL 字节写入覆盖的漏洞(CVE-2009-1537)