黑客成功利用IE关键bug，微软承诺发布补丁

ZDNET安全频道 09月20日 国际消息： 微软今日表示，黑客们正利用存在于IE8与IE9之中尚未修复的某个关键性安全漏洞，目前公司的工程师们正在积极通过更新加以挽救。

与传统处理方式一样，微软对此次威胁采取了淡化处理。

“报告中只列举了数量有限的几条针对IE8与IE9的攻击，不过该问题确实有可能影响所有IE版本，”Trustworthy Computing集团发言人Dustin Childs在上周二早晨的一篇博文中指出。

“我们正在积极开发安全更新，旨在解决这个问题，”Childs补充称。

根据Childs以及今天微软公布的安全咨文的说法，安全漏洞的影响面涉及所有受支持IE版本，从12年前的IE6到目前尚未正式推出的IE11无一幸免——IE11浏览器直到今年10月18日才会随Windows 8.1一同面世。

“没有任何一个版本能完全摆脱这次的安全威胁，”云安全供应商CloudPassage公司DevOps主管Andrew Storms这样描述漏洞对各微软浏览器版本的广泛影响。“IE中的零日漏洞绝不是好事，一旦影响所有版本、问题就变得更为严重。”

虽然微软在安全咨文中并未说明，但该漏洞确实可以通过经典的“偷渡式”攻击战术加以利用。这意味着黑客们只需要引导攻击目标访问恶意网站——或者已经遭到破坏并加载了攻击代码的合法网站——即可劫持其Windows设备上的浏览器并植入恶意内容。

在推出实际补丁之前，微软公司向客户们提出几条自我保护建议，其中包括配置EMET 4.0、运行微软的“Fixit”自动化工具从而为包含有IE渲染引擎的DLL文件提供“夹层”。

EMET(即增强减灾体验工具)是一款专为高级用户打造的工具，主要帮助企业IT专业人士通过手动方式启用反漏洞技术，例如针对特定应用的ASLR(地址空间布局随机化)以及DEP(数据执行保护)。

不过Fixit才是最适合个人用户的方案：微软在Fixit工具的支持网站上提供了一条链接，客户只需要点击图标并将其标记为“启用”即可。过去面对其它意料之外的突发性攻击活动时，微软已经多次利用夹层方案保护IE安全。

根据以往惯例，微软Fixit的解决办法可能是利用应用程序兼容性工具包在每次启动时在内存中对IE核心库进行修改——所谓IE核心库是一个名为“mshtml.dll”的DLL(动态链接库)文件，其中包含浏览器的渲染引擎。夹层本身无法修正bug，只是会让浏览器对已经被微软所发现的外部威胁免疫。

用户也可以暂时舍弃IE、使用其它备用浏览器，例如谷歌的Chrome或者Mozilla的火狐，从而防止自己在微软公布永远性修复补丁之前遭受恶意攻击。

微软目前拒绝透露修复IE漏洞的具体时间，但现在距离下一轮“周二补丁日”只有三周之遥，软件巨头的安全团队很可能抢在10月9日之前公布所谓“计划外”更新。

微软其实很少公布计划外更新：上一次发布的计划外更新为MS13-008，发布于今年1月14日，旨在修复自2012年12月以来肆虐于IE6、IE7以及IE8浏览器之上的漏洞。