微軟修補Windows重大漏洞

留下回應

分享

    

微軟在週二的每月例行軟體更新裡，發表了一堆安全修補程式，其中有五個屬「重大」（critical）等級。

這次的軟體更新裡有五個「重大」等級的修補程式，相關的軟體包括了Windows的TCP/IP網路、IE、MSN Messenger，Office，及Exchange Server等。「重大」等級也是微軟的安全評等中威脅程度最高的等級。其他另有三個Widnows安全漏洞修補程式則屬次一級危險程度的「重要」（important）更新。

所有這些漏洞，根據微軟表示，如果遭駭客利用的話，可以遠端遙控個人電腦。

微軟安全反應中心的安全程式經理Stephen Toulouse指出，許多被列為「重大」等級的漏洞，如果電腦內的微軟軟體用的是最新版，則危險程度會降低。

例如，Toulouse指出，和Exchange Server軟體電子郵件連絡簿及行事例相關的漏洞，對於Exchange Server 2003使用者來說其危險等級為「中度」（moderate）。同樣的道理，對於使用最新發表的Windows Server 2003 Service Pack 1的使用者來說，沒有什麼要立即注意的安全漏洞。

Exchange有洞可鑽？ 去年發現Exchange的安全公司Internet Security Systems（ISS）表示，相當擔心Exchange的這個漏洞的細節既然已經公布，可能很快就會有相關的病毒出現，且立即就可造成損害。

「這漏洞完全不需有使用者的互動就可造成危害。」ISS的X-Force研究部門組長Neel Mehta表示。

不過Toulouse表示，還很難斷定Exchange這個漏洞會出現新的攻擊病毒。

「實在很難猜測駭客可能做什麼。」他指出，但還未見過有任何對該臭蟲的討論，也沒發現任何「概念實證」（proof of concept）的程式碼──這往往是病毒的前兆。「我們現在所能做的，也是我們每次發表更新之後所在做的，就是觀察。」

TCP/IP網路的漏洞也是由ISS所發現的。Mehta表示，這個漏洞比較難攻擊，但是由於使用很廣，因此萬一被駭客利用的話問題也會更嚴重。

「每一台上網的Windows電腦都有用。」Mehta表示。「這是無法取消的功能，你無法關閉它。」

至於IE的漏洞，Toulouse表示，這個漏洞讓使用者一但上了經過特殊設定的網站，就可能讓使用者的電腦執行該網站上的惡意程式。而Office的漏洞則可能讓使用者因為打開內含惡意程式的Word檔而受到攻擊。

風險更高

為了配合微軟新公佈的漏洞，賽門鐵克（Symantec）也提高了它的整體「風險指數」（ThreatCon）的安全等級。

「不管是對家庭或是企業使用者來說，採取預防措施部署這些安全修補程式都很重要。」賽門鐵克安全反應中心資深經理Oliver Friedrichs表示。「微軟今天所宣佈的漏洞可能造成大規模的混合式攻擊的威脅，以及DoS（阻斷式服務）的攻擊。

除了修補程式之外，微軟也發佈了兩個與安全無關的「高優先」（high-priority）等級的軟體更新。其中之一是Windows Installer，另一個則是Background Intelligent Transfer Service（背景智慧傳輸服務），也就是微軟讓更新軟體可以打散下載的技術。(郭和杰)