由Google員工發現的IE零時差漏洞獲得證實

「未經協調公佈弱點的年代已經來到。」法國弱點研究公司Vupen在Twitter上發短文指出,證實由Google員工Michal Zalewski在Windows XP SP3上發現的IE8零時差攻擊弱點。

「未經協調公佈弱點的年代已經來到。」法國弱點研究公司Vupen在Twitter上發短文指出,證實由Google員工Michal Zalewski在Windows XP SP3上發現的IE8零時差攻擊弱點。

Vupen將該弱點風險程度評為重大;該弱點也影響到Windows 7、Windows Server 2008 SP2與R2、Widows Vista SP2及Windows Server 2003 SP2,但目前尚未派送修補程式。

根據Vupen指出,本問題是源自於Jscript物件和Document Object Model(DOM)物件處理循環參照時,mshtml.dll函式庫中的use-after-free發生錯誤;這會引起遠端攻擊者透過變造的網頁執行任意程式碼,攻擊者就可攻擊該弱點,並取得目標系統的控制權。

Vupen在後續更指出,驗證本弱點過程中,複製十分困難。Google Zaleswski公佈了他在2008年發現該弱點並通知微軟,然後於2010年7月發出警示的時間紀錄。

不過微軟表示Zaleswki指出的弱點只發生在他fuzzing工具的第三版,時間為12月。當時微軟曾要求Zaleswki延後發佈fuzzing tool,讓該公司有時間可加以解決。

「在檢視新版本工具及攻擊紀錄後,我們要求Zaleswki在我們進一步調查之前,先不要發佈新版工具及弱點資訊。且明確告知Zaleswki,我們對他公佈前兩版工具沒有意見。」微軟信賴運算回應通訊中心部門經理Jerry Bryant說。

Zaleswki拒絕延後發佈最新版fuzzing工具,表示中國的安全研究人員,或是駭客已經開始在探戡該弱點;他的說法被Bryant斥為誇大危險。

關於我們

自1990年創刊UXmaster雜誌,1991年獲得美國LAN Magazine獨家授權中文版,2006年獲得CMP Network Computing授權,2009年合併CMP Network Magazine獨家授權中文版,2014年轉型為《網路資訊》雜誌網站,為台灣中小企業協助技術領導者落實企業策略,了解網路規劃及應用,為企業網路應用、管理、MIS、IT人員必備之專業雜誌網站。


與我們聯絡

加入《網路資訊》雜誌社群

© Copyright 2021 本站版權所有,禁止任意轉載 網路資訊雜誌 / 心動傳媒股份有限公司 聯絡電話:+886 2 29432416