微软补丁日：字体处理又罢工了

上周二微软发布其例行补丁，其中包括12个公告，有四个被微软认定为“重要”等级。

专家称公告MS15-115应该为企业优先重视。该公告包含七个Microsoft Windows漏洞补丁，最严重的漏洞可能导致远程代码执行。两个重要的漏洞是由Windows对Adobe类型管理库中的字体处理不当引起的。这使得该漏洞能通过专门制作的网页和邮件来远程利用。

[[156090]]

Core Security的CISSP及系统工程师Bobby Kuzma称字体处理错误导致如此严重的漏洞是不可忽视的。

“为何认为字体处理属于操作系统内核中最敏感的部分?”Kuzma问道。“字体美化了作品，然而让不信任的字体流入系统长期为人们所忽视，这已经远不止一次了，九次十次与之相关的漏洞都有了。”

事实上，这已经是微软几年第八次相关字体处理漏洞了，其中七个都是“重要”等级。

Tripwire安全研究员Craig Young以及安全研究主管Tyler Reguly建议企业应优先重视MS15-121，无论公告中是否认定其等级重要与否。

公告包括微软Windows中安全通道(Schannel)漏洞的一个安全更新，该漏洞会导致欺骗和中间人攻击。

Young称之为强化通过微软Schannel库建立安全连接的重要之举。

“微软认定该补丁同样重要，使用基于证书身份验证客户端的系统管理员应该将其与客户端和服务器视作同等重要，因为描述型攻击会允许恶意服务器将数据注入到会话的开，且很有可能与违反同源策略的网页进行交互，”Young说道。“此外，这种攻击的遍体能狗让攻击者以使用基于TLS身份验证的其他协议冒充客户。这使得该补丁对于那些使用PEAP的科学服务器尤为重要，同时，部署SASL绑定的活动目录也需要留心。”

MS15-112和MS15-113是微软IE和Edge浏览器的补丁公告。IE的公告包括25个补丁，其中23个被评级为重要，能导致远程控制设备，Edge的包括4个补丁，其中3个为重要，并能导致远程控制设备。

本月最后一个重要的公告是MS15-114,处理了Windows中的一个漏洞，当用户打开一个专门的Windows日志文件时该漏洞能被利用并导致远程控制设备。该漏洞会影响Windows所有版本。

MS15-116解决了Microsoft Office中的7个重要的漏洞，其中5个在用户打开专门的Office文件且受影响的用户有足够权限时会允许远程代码执行。

MS15-117、MS15-118以及MS15-119也是重要的公告，可能导致通过Wiindows NDIS、.NET框架或Winsock中漏洞获取高特权。

MS15-122描述了一个重要漏洞的具体细节，该漏洞允许攻击者绕过目标机器上的Kerberos身份验证并解密由BitLocker所保护的硬盘。不过微软称只有在目标系统的BitLocker缺少PIN或USB密钥时才会被利用，计算机是通过域连接的，攻击者可获取计算机的物理访问权限。

MS15-120包括IPSec中漏洞的一个补丁，处理拒绝服务的漏洞，而MS15-123是商用Skype和微软同步的一个安全更新。