多Win程序高危DLL漏洞 微软不愿修复

　　目前，大约有40种不同的Windows应用程序中包含一种高危漏洞，它可以让攻击者劫持用户的电脑并让它们感染恶意软件。

　　四个月前，苹果公司曾经对Windows操作系统中使用的iTunes软件中所包含的这个漏洞进行了修补，但是至今仍然有30多种 Windows应用程序漏洞有待修补。苹果表示，该漏洞只影响Windows版iTunes，但对不使用DLL文件的Mac OS X系统不存在威胁。

　　网络漏洞管理公司Rapid7首席安全官HD Moore表示，这40种受影响的应用程序中的漏洞要分别进行修复，并不能够通过相同的补丁去修复。不过，Moore并未透露包含漏洞的Windows应用程序的名称和生产制造商。

　　微软对研究人员称，它不会修复一个可能导致许多Windows应用程序遭到攻击的安全漏洞。

　　据许多报道称，许多开发人员(包括微软的)滥用Windows的重要功能导致许多应用程序因装载组件的方式而受到攻击。

　　这个问题是上个星期首次出现的。当时，Rapid7首席安全官和开源软件 Metasploit黑客工具的制作者HD Moore说，他发现了包括Windows Shell在内的40个有漏洞的应用程序。一天之后，斯洛文尼亚的安全公司Acros说，在它从2008年12月开始实施的一项调查中，该公司发现了 200个有漏洞的Windows应用程序。

　　所有这些研究人员都指出，由于软件装载Windows动态链接库(即。dll扩展名的文件)以及。exe和。com为扩展名的可执行文件的方式存在问题，黑客能够利用许多Windows应用程序的安全漏洞。如果黑客在应用程序搜索的一个目录中植入伪装的恶意软件，当应用程序查找一个。dll、。exe或者。com文件时，黑客就能劫持用户的PC。

　　Kwon星期一说，他在包括Office 2007、Adobe Reader和所有主要的浏览器在内的Windows程序中发现了将近30个安全漏洞之后，他曾在2009年8月向微软报告了这个问题。

　　在Kwon与微软安全反应中心的工程师就远程可执行代码的安全漏洞问题进行的交流过程中，微软对他说，微软不会发布安全补丁，而是通过未来推出的Windows和Office的服务包来解决这个问题。

　　Kwon说，微软不愿意提供补丁是因为造成这种安全漏洞的根本原因是其它厂商的产品。微软还告诉他说，微软打算与那些包含安全漏洞的软件的厂商进行合作。

　　斯洛文尼亚的安全公司星期一在博客中说，根据我们的研究结果，我们可以肯定地说，所有的Windows用户都可能受到通过至少一种二进制代码植入安全漏洞实施的攻击。

　　微软对于Kwon所说的该公司不愿意或者不能通过修复Windows漏洞解决这个问题的说法不愿意发表评论。