微软:IE浏览器所有版本均存零日漏洞

互联网 | 编辑: 周黎俊 2014-05-02 05:00:00转载

微软上个周六晚上透露, IE浏览器所有版本存在一漏洞,可用于“有限的、有针对性的攻击”。微软称他们正在调查有关的漏洞和攻击,但尚未确定采取什么样的相应行动以及何时采取行动。

IE浏览器6至11的所有版本均因存此漏洞被列入可受到攻击的对象,除了Server Core以外,其他使用这些IE浏览器的所有Windows也可能遭受攻击。Windows Server版在默认的增强安全配置下运行IE浏览器,不会受到攻击。但如果有关网站被置于IE浏览器的可信任站点区域内,则Windows Server版亦会受到影响。

研究公司FireEye向微软报告了此漏洞。FireEye表示,虽然此漏洞会影响IE浏览器的所有版本,但针对漏洞的攻击仅对IE浏览器9、10和11版有效,攻击属于所谓的“释放后利用”(Use after free)型,即是说,浏览器内存中的对象被释放后,有心人对所用过的内存区进行操作。相关的攻击绕过DEP(数据执行保护)和ASLR(地址空间布局随机化)两个保护机制。

根据FireEye的说法,具体的攻击是利用Adobe Flash的SWF文件对堆(Heap)做处理。相关的堆处理技术名为堆风水。微软和FireEye都没有提到以下的这一点,但是没有安装Flash的计算机不会受到有关的攻击,不过因其附有IE浏览器仍会存有漏洞遭到攻击。IE浏览器10版和11版配有内嵌的Flash,所以肯定会受到攻击的影响。

增强型缓解体验工具包(Enhanced Mitigation Experience Toolkit ,缩写为EMET)可以使得利用漏洞进行攻击变得困难一些。

相关阅读

每日精选

点击查看更多

首页 手机 数码相机 笔记本 游戏 DIY硬件 硬件外设 办公中心 数字家电 平板电脑