微软不太可能修复其虚拟机缺陷

微软虚拟机软件爆出漏洞，它能让攻击者绕过Windows安全设施进而攻击应用程序中的公共漏洞，但微软并没有对这一漏洞采取修复行动。

这一虚拟机管理程序内存保护漏洞是由Core Security Technologies公司的攻击研究专家测试发现的，微软发言人周三表示他们并没有准备修复该漏洞相应的紧急预案。

这位发言人在电子邮件中写道：“Core公司的公告中所描述的操作可以轻易地为漏洞攻击开放更简单的渠道，那么该漏洞一定早已存在于系统之中，而不是一个新发现的独立漏洞。我们没有改变Windows虚拟机环境的计划。微软的确一直致力于稳固其软件以减少安全问题的出现，并可能在质量达标之时将补丁部署到其中，为我们的客户增值。”

Windows 7用户能在XP模式下使用虚拟机技术运行与Windows 7不兼容的应用程序。Core Security Technologies公司的首席技术官Ivan Arce表示，这一内存分配错误使代码出现漏洞，它通常会导致应用程序在物理机上终止，成为可攻击的漏洞。

Arce说，该漏洞让攻击者能绕过数据执行保护（DEP）、安全异常处理（SafeSEH）以及地址空间布局随机化(ASLR)，它们都是Windows系统中用来阻止恶意代码在Windows内核上执行的一些安全措施。Arce没有对微软对此事的响应做出回应。

微软发言人称，只有运行在客户虚拟机上的应用程序才会有安全风险。虚拟机的用户应当遵从公共安全实践，包括保证防火墙处于开启状态、反病毒软件安装到位并实时更新，并且所有的软件都部署了最新的安全补丁。

这位微软发言人表示：“攻击者无法将运行多重虚拟机的整个主机完全控制住。Windows 7的桌面操作系统（DEP, ASLR, and SafeSEH等等）的保护措施还是很到位的。”

微软Windows Client组主管Paul Cooke在本周早些时候发表博文称，不应将虚拟机的这一问题称为漏洞。

Cooke写道：“Core公司发现的这一问题本身并不是一个真正的漏洞。相比物理机来说，Windows内核中的这一保护机制在虚拟机中并没有那么有效。这不会引入漏洞，仅仅是缺失了一些安全保护机制。”

【编辑推荐】